CVE-2019-25233CVE-2019-25233是AVE DOMINAplus 1.10.x版本中存在的一个高危安全漏洞，融合了跨站请求伪造(CSRF)和跨站脚本(XSS)两种攻击向量。该漏洞允许未经认证的攻击者通过构造恶意网页，诱骗已登录的管理员用户访问，从而在用户浏览器会话中执行任意JavaScript脚本，同时可绕过同源策略限制执行管理员操作而无需用户同意。攻击者利用login.php页面参数验证不足的缺陷，将恶意脚本注入到页面响应中，当其他用户访问包含恶意内容的页面时，浏览器会执行这些脚本，导致会话cookie被窃取、敏感信息泄露或账户被完全接管。由于该漏洞无需认证即可发起攻击，且影响产品广泛应用于工业自动化和楼宇控制领域，一旦被利用可能造成严重的经济损失和安全威胁。建议相关用户立即采取防护措施，避免遭受攻击。
该漏洞主要源于AVE DOMINAplus 1.10.x的login.php页面未对用户输入进行充分的输入验证和输出编码。攻击者可以通过以下方式利用此漏洞：1) 在登录表单参数中注入恶意JavaScript代码，如在用户名或密码字段输入<script>alert(document.cookie)</script>；2) 构造包含恶意参数的URL链接，当受害者点击访问时，恶意脚本会在其浏览器上下文中执行；3) 结合CSRF漏洞，攻击者可以创建自动提交的管理员操作表单，在用户不知情的情况下执行添加管理员账户、修改配置等敏感操作。攻击成功的关键条件包括：目标用户已登录AVE DOMINAplus系统、攻击者能够诱骗用户访问特制链接或网页、目标用户浏览器未启用严格的XSS防护机制。由于漏洞存在于认证流程的入口点，攻击面广泛且利用难度较低，对系统安全性构成严重威胁。