CVE-2025-60880

总结

Bagisto 2.3.6 管理面板的产品创建路径中存在一个经过身份验证的存储型 XSS 漏洞，允许攻击者上传包含恶意 JavaScript 代码的特制 SVG 文件。经过身份验证的管理员用户可利用此漏洞在浏览器中执行任意 JavaScript，可能导致会话劫持、数据窃取或未经授权的操作。

• CVE-2025-60880PoC

  概念验证：Bagisto 管理面板中的存储型 XSS 漏洞，演示了包含恶意 JavaScript 的 SVG 上传，并提供缓解建议。