概述
CVE-2025-64177 - ThinkDashboard：通过恶意书签在仪表板中的存储型XSS漏洞
漏洞描述
ThinkDashboard是一个使用Go和原生JavaScript构建的自托管书签仪表板。在0.6.7及以下版本中，仪表板存在存储型跨站脚本（XSS）漏洞，当用户点击恶意书签时可能被利用，该漏洞由于缺乏协议过滤而存在。此漏洞已在0.6.8版本中修复。
漏洞详情
- 发布日期：2025年11月6日 22:15
- 最后修改：2025年11月6日 22:15
- 远程利用：是
- 漏洞来源：security-advisories@github.com
CVSS评分
| 分数 | 版本 | 严重程度 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 5.4 | CVSS 3.1 | 中等 | AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N | 2.8 | 2.5 | security-advisories@github.com |
| 5.4 | CVSS 3.1 | 中等 | 2.8 | 2.5 | MITRE-CVE |
解决方案
- 将ThinkDashboard更新到0.6.8版本以修复存储型XSS漏洞
- 应用必要的安全配置
公开利用
CVE-2025-64177在GitHub上有1个公开的PoC/利用代码。
相关参考
咨询、解决方案和工具参考链接：
- https://github.com/MatiasDesuu/ThinkDashboard/commit/16976263b22a4b0526b2c7c30294cc099258edae
- https://github.com/MatiasDesuu/ThinkDashboard/security/advisories/GHSA-57f2-rhxm-fjv3
CWE分类
CWE-79：在网页生成过程中输入验证不当（跨站脚本）
CAPEC攻击模式
- CAPEC-63：跨站脚本（XSS）
- CAPEC-85：AJAX指纹识别
- CAPEC-209：使用MIME类型不匹配的XSS
- CAPEC-588：基于DOM的XSS
- CAPEC-591：反射型XSS
- CAPEC-592：存储型XSS
漏洞时间线
新CVE接收 - 由security-advisories@github.com于2025年11月6日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | ThinkDashboard是一个自托管书签仪表板… | |
| 添加 | CVSS V3.1 | AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N | |
| 添加 | CWE | CWE-79 | |
| 添加 | 参考链接 | https://github.com/MatiasDesuu/ThinkDashboard/commit/… | |
| 添加 | 参考链接 | https://github.com/MatiasDesuu/ThinkDashboard/security/… |