CVE-2016-20032CVE-2016-20032是ZKTeco公司开发的ZKAccess Security System 5.3.1版本中存在的一个高危存储型跨站脚本(XSS)漏洞。该漏洞允许未经认证的攻击者通过在特定POST参数中注入恶意脚本代码，实现对其他用户浏览器会话的劫持和敏感信息窃取。漏洞主要影响系统的假期名称(holiday_name)和备注(memo)字段，攻击者提交的恶意载荷会被永久存储在服务器端，当其他用户访问相关功能页面时，恶意脚本将在受害者浏览器中执行。由于该系统通常用于企业门禁和考勤管理，攻击者可能通过此漏洞获取员工个人信息、修改访问权限设置或进行进一步的内网渗透攻击。此漏洞无需任何用户交互即可被利用，且可通过网络远程触发，具有较高的实际威胁性。
该存储型XSS漏洞存在于ZKTeco ZKAccess Security System 5.3.1的Web管理界面中。漏洞根源在于应用程序对用户输入的holiday_name和memo两个POST参数缺乏充分的输入验证和输出编码。攻击者可以构造包含JavaScript代码的恶意请求，例如在holiday_name参数中注入<script>alert(document.cookie)</script>或更复杂的payload。由于系统未对特殊字符进行HTML实体编码就直接存储到数据库，并在后续页面渲染时原样输出到HTTP响应中，导致恶意脚本在用户浏览器中执行。攻击者利用此漏洞可以窃取受害者用户的会话cookie、劫持用户会话、修改系统配置或诱骗用户输入敏感凭据。由于存储型XSS的特性，恶意脚本会持久存在于系统中，每次相关页面被访问时都会触发，形成持续性威胁。