CVE-2013-10074CVE-2013-10074是Nagios XI网络监控系统中存在的一个存储型跨站脚本（Stored XSS）安全漏洞。该漏洞影响Nagios XI 2012R2.6之前的所有版本。漏洞位于Web界面的Tools Menu功能模块，由于应用程序对用户输入的恶意脚本内容缺乏充分的验证和适当的输出编码，导致攻击者可以在受影响的页面中注入任意JavaScript代码。当其他用户访问包含恶意脚本的页面时，这些脚本将在其浏览器上下文中执行，从而窃取会话令牌、劫持用户账户、进行钓鱼攻击或执行其他恶意操作。由于该漏洞需要低权限用户身份且需要用户交互才能触发，因此CVSS评分定为5.4（中危）。攻击者利用此漏洞可以获取受害者用户的敏感信息，包括认证凭证和个人数据，对企业网络安全构成一定威胁。
Nagios XI的Tools Menu模块在处理用户提交的数据时存在输入验证不足的安全问题。攻击者可以通过Tools Menu的功能点（如自定义工具配置、监控配置导入等）注入恶意JavaScript或HTML代码片段。这些恶意内容会被存储在系统数据库中，当其他用户访问相关页面或触发特定功能时，服务器会将未经过滤的内容直接返回给客户端浏览器。浏览器会将这些内容作为合法脚本执行，从而实现跨站脚本攻击。攻击者通常利用此漏洞窃取用户会话cookie、伪造表单提交、修改页面显示内容或引导用户访问恶意网站。由于Nagios XI通常以高权限运行，攻击者成功利用XSS漏洞后可能进一步获取系统控制权限。攻击者需要先登录系统并拥有创建或修改工具配置的权限，然后通过构造包含script标签或事件处理器（如onerror、onload等）的Payload来触发漏洞。