CVE-2026-4369Autodesk Fusion桌面应用程序中存在一个高危的存储型跨站脚本（XSS）漏洞。该漏洞源于应用程序未能正确过滤“组装变体名称”中嵌入的恶意HTML载荷。攻击者可以构造包含恶意脚本的特殊变体名称，并将其保存到项目中。当受害者打开受感染的项目并在删除确认对话框中查看并点击该内容时，恶意代码将被触发。成功利用此漏洞可能导致攻击者读取本地敏感文件或在当前进程的上下文中执行任意代码，对系统安全构成严重威胁。
该漏洞位于Autodesk Fusion处理及渲染组装变体名称的模块中。由于应用程序未对用户输入的变体名称进行严格的HTML实体编码或无害化处理，攻击者可以将恶意的HTML标签和JavaScript代码注入到该字段中。这种恶意载荷被持久化存储在项目数据中。在攻击链的触发阶段，当用户尝试删除相关组件时，应用程序会在本地渲染引擎（通常基于Chromium或类似Web技术）中显示删除确认对话框，此时未经过滤的恶意代码将被解析执行。鉴于Fusion是桌面应用程序，其运行环境通常拥有比标准Web浏览器更高的权限，攻击者可以利用Electron或类似的Node.js集成机制，通过XSS漏洞突破沙箱限制，进而访问本地文件系统（读取本地文件）或调用系统命令执行任意代码。