CVE-2026-6996 BDCOM P3310D rmon event组件XSS漏洞

BDCOM P3310D 0.4.2 10.1.0F Build 86345版本中的rmon event组件存在安全漏洞。该漏洞由于对Description参数处理不当导致，允许远程攻击者实施跨站脚本攻击。尽管利用需高权限及用户交互，但攻击者仍可能借此在管理员浏览器中执行恶意脚本，篡改数据或进行钓鱼。目前厂商未回应且公开代码已存在，风险需警惕。

该漏洞根源在于BDCOM P3310D设备Web管理界面“rmon event Tab”组件对“Description”参数的输入验证机制存在缺陷。应用程序未对该字段进行充分的HTML实体编码或过滤，导致跨站脚本漏洞。根据CVSS评分向量，攻击者需要具有网络访问权限（AV:N），且漏洞利用需要较高权限（PR:H）及用户交互（UI:R）。攻击者可构造包含恶意JavaScript脚本的特制请求，发送至服务器。当高权限用户访问被注入的页面或触发特定功能时，恶意脚本将在受害者浏览器端解析执行。尽管当前评级对机密性和可用性影响较小，但攻击者仍可利用此漏洞修改页面显示内容、窃取管理Cookie或执行未授权操作，对设备的安全性构成潜在威胁。