CVE-2017-20209Nagios Fusion 4.0.1之前版本存在存储型跨站脚本漏洞。攻击者可以通过Users和Servers页面注入恶意JavaScript代码，由于应用程序对用户输入缺乏充分的验证和转义，恶意脚本会被存储在服务器端。当其他用户访问受影响的页面时，注入的脚本将在其浏览器上下文中执行，从而窃取会话Cookie、劫持用户账户或进行其他恶意操作。该漏洞无需认证即可利用，但需要用户交互触发。CVSS评分为6.1，属于中危漏洞。攻击者可利用此漏洞获取敏感信息或对应用程序进行进一步攻击。
该漏洞为存储型XSS（Stored XSS），存在于Nagios Fusion的Users和Servers页面。攻击者构造恶意Payload（如<script>alert(document.cookie)</script>）并通过用户输入字段提交，由于应用程序未对用户输入进行充分的输入验证和输出编码，恶意脚本被永久存储在数据库中。当管理员或其他用户访问包含恶意内容的页面时，浏览器会解析并执行注入的脚本代码。攻击者可以利用此漏洞窃取受害者的会话令牌、凭据或其他敏感信息，甚至可能通过构造更复杂的Payload来执行任意操作。攻击向量的网络位置为远程（AV:N），无需特殊权限（PR:N），但需要用户交互（UI:R）触发。