givanz Vvveb login.tpl cross site scripting 漏洞信息(CVE-2025-9728)

一、漏洞 CVE-2025-9728 基础信息

漏洞信息

                                        # Givanz Vvveb login.tpl 跨站脚本漏洞

## 概述

givanz Vvveb 1.0.7.2 版本中发现一个安全漏洞，涉及文件 `app/template/user/login.tpl` 的某处未知部分。

## 影响版本

- givanz Vvveb 1.0.7.2

## 漏洞细节

漏洞源于对 `Email/Password` 参数的不当处理，攻击者可通过构造恶意输入在用户登录页面注入恶意脚本。

## 影响

- 允许远程攻击者执行跨站脚本攻击（XSS）。
- 攻击可能窃取会话令牌、劫持用户会话或执行恶意操作。

## 修复建议

- 应用补丁 `bbd4c42c66ab818142240348173a669d1d2537fe` 以修复此漏洞。

神龙判断

是否为 Web 类漏洞： 是

判断理由：

是。这个漏洞存在于givanz Vvveb 1.0.7.2的app/template/user/login.tpl文件中，涉及通过Email/Password参数的操纵导致跨站脚本攻击（XSS）。这种攻击可以远程执行，属于服务端的漏洞。建议应用提供的补丁以解决此问题。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

givanz Vvveb login.tpl cross site scripting

来源：美国国家漏洞数据库 NVD

漏洞描述信息

A security vulnerability has been detected in givanz Vvveb 1.0.7.2. This affects an unknown part of the file app/template/user/login.tpl. Such manipulation of the argument Email/Password leads to cross site scripting. The attack can be executed remotely. The name of the patch is bbd4c42c66ab818142240348173a669d1d2537fe. Applying a patch is advised to resolve this issue.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

在Web页面生成时对输入的转义处理不恰当(跨站脚本)

来源：美国国家漏洞数据库 NVD

漏洞标题

Vvveb 安全漏洞

来源：中国国家信息安全漏洞库 CNNVD

漏洞描述信息

Vvveb是Givan个人开发者的一个强大且易于使用的CMS，用于构建网站、博客或电子商务商店。 Vvveb 1.0.7.2版本存在安全漏洞，该漏洞源于对文件app/template/user/login.tpl中参数Email/Password的错误操作导致跨站脚本。

来源：中国国家信息安全漏洞库 CNNVD

CVSS信息

N/A

来源：中国国家信息安全漏洞库 CNNVD

漏洞类别

其他

来源：中国国家信息安全漏洞库 CNNVD

二、漏洞 CVE-2025-9728 的公开POC

#	POC 描述	源链接	神龙链接
1	CVE-2025-9728: Reflected XSS in Login Form (Email & Password Fields) Vvveb CMS v1.0.7.2	https://github.com/kwerty138/Reflected-XSS-in-Vvveb-CMS-v1.0.7.2	POC详情

三、漏洞 CVE-2025-9728 的情报信息

标题： GitHub - kwerty138/Reflected-XSS-in-Vvveb-CMS-v1.0.7.2: CVE-2025-9728: Reflected XSS in Login Form (Email & Password Fields) Vvveb CMS v1.0.7.2 -- 🔗来源链接

标签： related
神龙速读
标题： [Security] Vulnerability: Reflected XSS in Login Form (Email & Password Fields) · Issue #323 · givanz/Vvveb -- 🔗来源链接

标签： issue-tracking
神龙速读
标题： Fixed XSS for reflected login data on user login form https://github.… · givanz/Vvveb@bbd4c42 · GitHub -- 🔗来源链接

标签： patch
神龙速读
标题： Login required -- 🔗来源链接

标签： signature permissions-required
神龙速读
标题： CVE-2025-9728 givanz Vvveb login.tpl cross site scripting (ID 323) -- 🔗来源链接

标签： vdb-entry technical-description
神龙速读
标题： Submit #639704: givanz Vvveb 1.0.7.2 Cross Site Scripting -- 🔗来源链接

标签： third-party-advisory
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-9728