CVE-2025-36750: CWE-79 网页生成期间输入验证不当（XSS）漏洞 - Growatt ShineLan-X

漏洞概述

严重性: 高类型: 漏洞 CVE ID: CVE-2025-36750

ShineLan-X 设备的“电站名称”字段存在一个存储型跨站脚本（XSS）漏洞。攻击者可以通过直接发起POST请求，提交一个精心构造的HTML负载，该负载将在电站管理页面上显示。这可能允许攻击者强制合法用户的浏览器JavaScript引擎执行恶意代码。

AI技术分析

技术摘要

CVE-2025-36750 标识了古瑞瓦特（Growatt）ShineLan-X 产品（版本 3.6.0.0）中存在一个存储型跨站脚本（XSS）漏洞。该漏洞源于网页生成期间输入验证不当（CWE-79），具体发生在“电站名称”字段。攻击者可以通过直接POST请求提交一个精心构造的HTML负载，该负载随后被存储并在电站管理页面上渲染，且没有经过充分的清理或编码。这导致受害者的浏览器在ShineLan-X Web应用程序的安全上下文中执行注入的JavaScript代码。

CVSS 4.0 向量（AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:L/SC:H/SI:H/SA:H）表明：攻击向量为网络，攻击复杂度低，无需用户交互，除了低权限外无需身份验证，对机密性和范围影响高。该漏洞可能使攻击者能够窃取会话令牌、操纵电站管理数据，或利用受害者的浏览器执行未授权操作。虽然目前尚未公开已知的漏洞利用程序，但该漏洞的性质和高CVSS评分使其成为依赖ShineLan-X进行太阳能管理的组织关注的严重问题。在发布时缺乏可用补丁，需要立即采取补偿性控制和监控措施。

潜在影响

对于欧洲的组织，特别是那些使用古瑞瓦特ShineLan-X管理太阳能基础设施的组织，此漏洞构成重大风险。利用该漏洞可能导致未经授权访问电站管理界面、操纵运营数据以及可能中断能源生产。诸如电站配置和用户凭证之类的机密数据可能被泄露，影响运营完整性以及GDPR等法规下的隐私合规性。无需用户交互或提升权限即可执行任意JavaScript的能力增加了攻击面和自动化利用活动的可能性。可再生能源管理的中断可能产生更广泛的经济和环境影响，特别是在大力投资太阳能的国家。此外，受感染的系统可能成为组织网络内进一步攻击的立足点，从而放大威胁。

缓解建议

立即的缓解措施应侧重于对“电站名称”字段实施严格的输入验证和输出编码，以防止恶意脚本注入。组织应将ShineLan-X管理界面的访问权限限制在可信网络和具有最低权限的用户。部署针对XSS负载模式的规则配置的Web应用防火墙（WAF），以检测和阻止利用尝试。监控日志中是否存在异常的POST请求或意外的脚本执行行为。由于目前没有官方补丁，请与古瑞瓦特协调以获取及时更新，并在发布后立即应用。对管理员进行安全意识培训，以识别潜在的利用迹象。考虑将ShineLan-X管理系统与企业网络的其他部分隔离，以限制在受感染情况下的横向移动。定期审计和测试应用程序是否存在类似漏洞，以确保全面保护。

受影响国家

德国、西班牙、意大利、法国、荷兰

技术详情

数据版本: 5.2
分配者简称: DIVD
日期预留: 2025-04-15T21:54:36.814Z
CVSS 版本: 4.0
状态: 已发布
威胁ID: 693d2747f35c2264d84722f0
添加到数据库时间: 2025年12月13日上午8:43:51
最后丰富时间: 2025年12月13日上午8:49:49
最后更新时间: 2025年12月15日上午4:35:44
查看次数: 17

来源: CVE数据库 V5 发布时间: 2025年12月13日星期六