CVE-2025-68936
— 神龙十问 AI 深度分析摘要
CVSS 6.4 · Medium
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **跨站脚本漏洞（XSS）**
- 本质：Color主题名未过滤
- 后果：攻击者可注入恶意脚本 💥
- 用户浏览时脚本执行 → 账户劫持/信息泄露
Q2根本原因？（CWE/缺陷点）
🔍 **根本原因**
- **CWE-79**：输入未正确转义
- 缺陷点：**Color主题名称处理不当**
- 导致脚本被当作正常内容渲染
Q3影响谁？（版本/组件）
👥 **影响范围**
- ONLYOFFICE Docs **< 9.2.1**
- 组件：在线文档编辑服务
- 📌 所有使用该版本的实例均中招
Q4黑客能干啥？（权限/数据）
💣 **黑客能力**
- 需**普通用户权限**（PR:L）
- 可窃取会话Cookie 🍪
- 可篡改页面、钓鱼、诱导操作
- 影响同域其他用户（S:C）→ 扩大攻击面
Q5利用门槛高吗？（认证/配置）
🧩 **利用门槛**
- ❗低门槛
- 仅需**登录用户**身份
- UI无需交互（UI:N）
- 网络可达即可（AV:N）
Q6有现成Exp吗？（PoC/在野利用）
🕵️ **现有Exp？**
- 📭 PoC：**暂无公开**
- 📉 在野利用：**未报告**
- 但风险真实⚠️ 勿轻敌
Q7怎么自查？（特征/扫描）
🔎 **自查方法**
- 检查版本号 < 9.2.1 ❗
- 搜索自定义Color主题名含特殊字符
- 用浏览器审查元素看是否转义
- 🛠️ 可抓包验证主题名回显
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**
- ✅ 已修复于 **v9.2.1**
- 更新日志见：[CHANGELOG](https://github.com/ONLYOFFICE/DocumentServer/blob/master/CHANGELOG.md#921)
- 建议立即升级 🚀
Q9没补丁咋办？（临时规避）
⚠️ **无补丁时对策**
- 禁用自定义Color主题功能
- 限制用户修改主题名的权限
- 前端增加严格输入过滤 & 输出编码
- 部署CSP策略降低XSS威力 🧱
Q10急不急？（优先级建议）
🔥 **优先级建议**
- 🚨 **高优先级**
- CVSS 3.1评分：**5.4（中危）**
- 易利用 + 多用户受影响
- 尽快升级或缓解 ✅