CVE-2025-52097 – InstantForum.NET v4.1.4 における反射型XSS

このリポジトリには、InstantForum.NET v4.1.4 で特定された反射型クロスサイトスクリプティング（XSS）脆弱性である CVE-2025-52097 に関する公開アドバイザリ、概念実証（PoC）、および補助資料が含まれています。

概要

影響を受ける製品: InstantForum.NET v4.1.4
ベンダー: InstantASP Ltd.（事業停止中）
脆弱性の種類: 反射型クロスサイトスクリプティング（XSS）

説明:
クエリ文字列パラメータ hbhxg のサニタイズされていない入力が、出力エンコーディングなしでHTMLレスポンスに直接反映されます。これにより、攻撃者は認証なしで被害者のブラウザ上で任意のJavaScriptを実行できます。

アドバイザリ

悪用の詳細と修正推奨事項を含む完全な技術アドバイザリは、ADVISORY.md で入手できます。

概念実証

概念実証のスクリーンショットがこのリポジトリに含まれています：

• poc_proof.png – ペイロードの実行
• poc_proof_2.png – 反射とバージョン確認

開示情報

• 発見者: Ryan Wilson（ECS MSP ARC Red Team）
• CVE ID: CVE-2025-52097
• アドバイザリ公開日: 2025年7月11日

ライセンス

このアドバイザリは、教育および防御的なセキュリティ目的のみで提供されています。

---

この開示に関するご質問は、[email protected] までお問い合わせください。