CVE-2025-34258 CVSS 5.4 中危

CVE-2025-34258 Advantech WISE-DeviceOn Server 存储型XSS漏洞

披露日期: 2025-12-05

来源: [email protected]

漏洞信息

漏洞编号

CVE-2025-34258

漏洞类型

存储型XSS

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

需要交互 (UI:R)

影响产品

Advantech WISE-DeviceOn Server

漏洞概述

Advantech WISE-DeviceOn Server 5.4之前版本存在存储型跨站脚本(XSS)漏洞。该漏洞位于设备地图规划功能的区域名称参数中，低权限认证用户可在添加地图区域时注入恶意JavaScript代码。由于该输入在存储后未经过HTML净化处理，当其他用户查看或交互受影响的地图条目时，注入的脚本会在其浏览器上下文中执行。这可能导致会话劫持、敏感信息窃取或以受害者身份执行未授权操作。

技术细节

漏洞源于/rmm/v1/devicemap/plan端点对用户输入的area name参数缺乏输入验证和输出编码。当认证用户创建或编辑地图区域时，恶意脚本被持久化到数据库。后续用户访问地图列表时，浏览器会渲染未转义的HTML内容，导致脚本执行。攻击者利用低权限账户即可实施攻击，但需要诱导其他用户查看特制的地图条目。

攻击链分析

STEP 1

侦察

识别运行5.4以下版本WISE-DeviceOn Server的目标系统

STEP 2

认证

使用低权限账户登录系统

STEP 3

注入

通过/rmm/v1/devicemap/plan端点提交含恶意脚本的区域名称

STEP 4

触发

等待其他用户查看设备地图时自动执行脚本

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

url = 'https://target.com/rmm/v1/devicemap/plan'
headers = {'Authorization': 'Bearer <token>', 'Content-Type': 'application/json'}
payload = {'name': '<script>alert(document.cookie)</script>'}

response = requests.post(url, json=payload, headers=headers)
print(response.status_code)

影响范围

WISE-DeviceOn Server < 5.4

防御指南

临时缓解措施

限制设备地图功能的访问权限，监控异常请求模式

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表