概述
CVE-2025-12872
aEnrich｜eHRD - 存储型跨站脚本漏洞
漏洞描述
aEnrich开发的a+HRD和a+HCM系统存在存储型跨站脚本漏洞，允许经过身份验证的远程攻击者上传包含恶意JavaScript代码的文件，当用户被诱骗访问特定URL时，这些代码将在客户端执行。
技术详情
基本信息
- 发布日期：2025年11月12日上午8:15
- 最后修改：2025年11月12日上午8:15
- 远程利用：是
- 来源：twcert@cert.org.tw
CVSS评分
| 分数 | 版本 | 严重级别 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 5.4 | CVSS 3.1 | 中危 | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | 2.3 | 2.7 | twcert@cert.org.tw |
| 5.4 | CVSS 3.1 | 中危 | - | - | - | MITRE-CVE |
| 5.1 | CVSS 4.0 | 中危 | AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | - | - | twcert@cert.org.tw |
解决方案
- 对所有用户提供的输入进行清理
- 仔细验证文件上传
- 实施强大的输入验证
- 避免执行上传的脚本
相关参考
咨询、解决方案和工具链接：
- https://www.twcert.org.tw/en/cp-139-10487-12a32-2.html
- https://www.twcert.org.tw/tw/cp-132-10486-a3459-1.html
CWE分类
CWE-79：在网页生成过程中输入清理不当（跨站脚本）
CAPEC攻击模式
- CAPEC-63：跨站脚本攻击(XSS)
- CAPEC-85：AJAX指纹识别
- CAPEC-209：利用MIME类型不匹配的XSS攻击
- CAPEC-588：基于DOM的XSS攻击
- CAPEC-591：反射型XSS攻击
- CAPEC-592：存储型XSS攻击
漏洞时间线
| 动作 | 类型 | 旧值 | 新值 | 日期 |
|---|---|---|---|---|
| 新增 | 描述 | - | aEnrich开发的a+HRD和a+HCM存在存储型XSS漏洞… | 2025年11月12日 |
| 新增 | CVSS V4.0 | - | AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/… | 2025年11月12日 |
| 新增 | CVSS V3.1 | - | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N | 2025年11月12日 |
| 新增 | CWE | - | CWE-79 | 2025年11月12日 |
| 新增 | 参考链接 | - | https://www.twcert.org.tw/en/cp-139-10487-12a32-2.html | 2025年11月12日 |
| 新增 | 参考链接 | - | https://www.twcert.org.tw/tw/cp-132-10486-a3459-1.html | 2025年11月12日 |