CVE-2026-25013WHMCSdes Phox Hosting插件在处理用户输入时存在过滤缺陷，导致反射型跨站脚本漏洞。该漏洞影响2.0.8及以下所有版本，攻击者可利用此漏洞诱导用户点击恶意链接，从而在受害者浏览器中执行任意JavaScript代码，窃取敏感信息如Cookie或会话令牌。
CVE-2026-25013 是一种典型的反射型跨站脚本攻击（Reflected XSS），其根本原因在于应用程序未能对Web页面生成过程中的用户输入进行适当的中和。具体来说，WHMCSdes Phox Hosting插件的某些端点直接接收HTTP请求参数，并将其嵌入到服务器响应的HTML页面中，而没有进行严格的HTML实体编码或过滤。由于CVSS向量显示攻击复杂度低（AC:L）且无需特权（PR:N），攻击者可以轻易构造包含恶意脚本（如 `<script>alert(document.cookie)</script>`）的URL。虽然该攻击需要用户交互（UI:R），即受害者必须点击链接，但由于存在作用域变更（S:C），一旦脚本执行，攻击者可能突破同源策略限制，获取用户敏感数据、修改页面内容或重定向用户，对机密性、完整性和可用性造成影响。