关键信息 漏洞概述 CVE编号: CVE-2025-9145 类型: 存储型XSS（跨站脚本攻击） 触发方式: 通过SVG文件上传绕过实现 技术细节 易受攻击的端点: 受影响参数: 触发页面: PoC (概念验证) Payload: 步骤: 1. 保存payload为 2. 访问 3. 创建新视图并选择“Escollir arxiu”上传 4. 保存文件后，导航至 影响 可以执行以下操作： - 窃取会话cookie - 在受害者设备上安装恶意软件 - 盗取浏览器中存储的凭据 - 将用户重定向到恶意网站 - 破坏应用程序界面 - 泄露内部网络信息 官方来源 CVE-2025-9145 on CVE.org Vuln Entry 结论 SVG文件上传限制绕过是一个已知的XSS向量，但仍然经常被低估。此漏洞展示了看似无害的图像上传如何变成持久性的XSS威胁。 安全团队应将SVG视为活动内容，彻底审查，并避免直接在浏览器中渲染未过滤的上传文件。 发现者 Karina Gante