关键信息 漏洞概述 CVE ID: CVE-2025-52344 发布日期: 2025-09-09 严重性: 中等 (CVSS 6.1) 受影响产品: Explurance Blue 受影响版本: 8.1.2 修复版本: 尚未披露 描述 在Explurance Blue 8.1.2中发现了多个跨站脚本（XSS）漏洞。应用程序未能正确清理用户输入的以下字段： Group Name输入字段 Project Description输入字段 Details输入字段 Option输入字段 远程攻击者可以利用这些漏洞注入任意JavaScript代码，当受害者查看受影响页面时，该代码将在受害者的浏览器中执行。 概念验证（PoC） 1. 反射型XSS在Group Name和Project Description字段 - 创建一个新项目。 - 在Project Description和Group Name字段中插入带有弹出消息的XSS有效载荷。 - JavaScript在浏览器中执行。 2. 存储型XSS在Details和Option字段 - 创建一个新项目。 - 在调查中添加新问题。 - 在Details和Option输入字段中插入将用户重定向到虚假登录页面的XSS有效载荷。 - 保存并发布项目。 - JavaScript在受害者的浏览器中执行。 - 一旦受害者输入其凭据，它将被攻击者捕获。 影响 成功的利用允许攻击者在登录用户的上下文中执行任意JavaScript。这可能导致会话劫持、重定向到恶意站点、内容篡改或敏感信息窃取。 缓解措施 对所有用户提供的字段应用输入验证和输出编码。 使用内容安全策略（CSP）限制不受信任脚本的执行。 Explurance应提供补丁更新（目前没有供应商修复可用）。 致谢 漏洞由Sara Alsaif和Ali rehan Muhammad saleem发现。 咨询维护在：https://gist.github.com/SaraAlsaif/f363b307f29c865d499678eca3106b43