CVE-2025-40903该漏洞是Nozomi Networks产品中发现的存储型HTML注入漏洞。由于Schedule Restore Archive功能对输入参数验证不当，拥有管理员权限的认证用户可以定义包含HTML标签的恶意恢复计划。当受害者查看受影响的计划时，注入的HTML代码将在其浏览器中渲染，可能导致钓鱼攻击或开放重定向攻击。虽然现有的输入验证和内容安全策略（CSP）配置阻止了完全的XSS利用和直接信息泄露，但仍存在中等安全风险。
该漏洞源于Schedule Restore Archive功能未对输入参数进行充分的验证和过滤。攻击者需具备高权限（管理员）身份，利用此缺陷在定义恢复计划时注入恶意的HTML标签（如<iframe>、<a>或用于重定向的meta标签）。后端系统直接存储这些未经处理的恶意数据。当具有低权限或其他权限的受害者访问并查看该受影响的恢复计划页面时，服务器会将存储的HTML内容直接返回并在浏览器中渲染。尽管内容安全策略（CSP）和现有验证机制阻止了JavaScript的执行（防止了完全的XSS和数据窃取），但恶意的HTML结构仍可构建钓鱼界面或诱导用户点击跳转至恶意网站，利用了存储型HTML注入的机制。
暂无版本信息