一、 漏洞 CVE-2024-25637 基础信息
漏洞标题
通过X-October-Request-Handler头部的反射型XSS
来源：AIGC 神龙大模型
漏洞描述信息
“十月”是一个基于Laravel PHP框架的自托管CMS平台。X-October-Request-Handler 头部并不清理AJAX处理器名称，允许未转义的HTML被反射返回。由于此漏洞无法通过正常的浏览器交互进行利用，因此没有影响。仅当使用代理拦截工具时，才能检测到此未转义的值。该问题已在版本3.5.15中被修复。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
来源：AIGC 神龙大模型
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：AIGC 神龙大模型
漏洞标题
Reflected XSS via X-October-Request-Handler Header
来源：美国国家漏洞数据库 NVD
漏洞描述信息
October is a self-hosted CMS platform based on the Laravel PHP Framework. The X-October-Request-Handler Header does not sanitize the AJAX handler name and allows unescaped HTML to be reflected back. There is no impact since this vulnerability cannot be exploited through normal browser interactions. This unescaped value is only detectable when using a proxy interception tool. This issue has been patched in version 3.5.15.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源：美国国家漏洞数据库 NVD
漏洞标题
October 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
October是October开源的一个内容管理系统 (CMS) 和网络平台。 October 3.5.15 版本之前存在安全漏洞，该漏洞源于 X-October-Request-Handler 标头不会清理 AJAX 处理程序名称，并允许未转义的 HTML 反射回来。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2024-25637 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-25637 的情报信息