CVE-2025-52097 – InstantForum.NET v4.1.4 中的反射型XSS

本仓库包含 CVE-2025-52097 的公开公告、概念验证及相关支持材料，该漏洞是 InstantForum.NET v4.1.4 中发现的一个反射型跨站脚本（XSS）漏洞。

摘要

产品： InstantForum.NET v4.1.4
厂商： InstantASP Ltd.（已停止运营）
漏洞类型： 反射型跨站脚本（XSS）

描述：
hbhxg 查询字符串参数中的未净化输入被直接反射到 HTML 响应中，未进行输出编码，这使得攻击者能够在无需认证的情况下在受害者浏览器中执行任意 JavaScript。

公告

完整的技术公告（包括利用细节和修复建议）请参阅 ADVISORY.md。

概念验证

本仓库包含概念验证截图：

• poc_proof.png – Payload 执行
• poc_proof_2.png – 反射与版本确认

披露信息

• 发现者： Ryan Wilson，ECS MSP ARC 红队
• CVE ID： CVE-2025-52097
• 公告发布日期： 2025 年 7 月 11 日

许可证

本公告仅用于教育和防御性安全目的。

---

如对本次披露有任何疑问，请联系 [email protected]。