CVE-2025-36750: CWE-79 Growatt ShineLan-X 中网页生成期间输入中和不当（XSS 或“跨站脚本”）

严重性：高 类型：漏洞

CVE-2025-36750

ShineLan-X 的“电站名称”字段存在一个存储型跨站脚本（XSS）漏洞。一个 HTML 载荷将通过直接 POST 请求在电站管理页面上显示。这可能允许攻击者强制合法用户的浏览器 JavaScript 引擎运行恶意代码。

AI 分析

技术摘要

CVE-2025-36750 标识了 Growatt ShineLan-X 产品（版本 3.6.0.0）中的一个存储型跨站脚本（XSS）漏洞。该漏洞源于网页生成期间输入中和不当（CWE-79），具体在“电站名称”字段。攻击者可以通过直接的 POST 请求提交一个精心构造的 HTML 载荷，该载荷随后被存储并在电站管理页面上渲染，且未经过充分的清理或编码。这导致受害者的浏览器在 ShineLan-X Web 应用程序的安全上下文中执行注入的 JavaScript 代码。

CVSS 4.0 向量（AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:L/SC:H/SI:H/SA:H）表明：攻击向量为网络，攻击复杂度低，无需用户交互，除了低权限外无需身份验证，对保密性和范围具有高影响。该漏洞可能使攻击者能够窃取会话令牌、操纵电站管理数据或利用受害者的浏览器执行未授权操作。虽然目前尚未有公开的已知漏洞利用，但该漏洞的性质和高 CVSS 评分使其成为依赖 ShineLan-X 进行太阳能管理的组织需要高度关注的问题。发布时缺乏可用的补丁，需要立即采取补偿性控制和监控。

潜在影响

对于欧洲的组织，特别是那些使用 Growatt ShineLan-X 管理太阳能基础设施的组织，此漏洞构成了重大风险。漏洞利用可能导致对电站管理界面的未授权访问、操作数据的篡改以及可能的生产中断。电站配置和用户凭据等机密数据可能被泄露，影响运营完整性和 GDPR 等法规下的隐私合规性。无需用户交互或提升权限即可执行任意 JavaScript 的能力增加了攻击面和自动化漏洞利用活动的可能性。可再生能源管理的中断可能产生更广泛的经济和环境后果，特别是在大力投资太阳能的国家。此外，受入侵的系统可能成为组织网络内进一步攻击的立足点，从而放大威胁。

缓解建议

应立即采取缓解措施，重点关注对“电站名称”字段实施严格的输入验证和输出编码，以防止恶意脚本的注入。组织应将 ShineLan-X 管理界面的访问限制在受信任的网络和具有最低权限的用户。部署具有针对 XSS 载荷模式规则的 Web 应用程序防火墙（WAF），以检测和阻止漏洞利用尝试。监控日志中是否存在异常的 POST 请求或意外的脚本执行行为。由于目前没有官方的补丁可用，应与 Growatt 协调及时获取更新，并在发布后立即应用。对管理员进行安全意识培训，以识别潜在的漏洞利用迹象。考虑将 ShineLan-X 管理系统与企业网络的其他部分隔离，以限制在发生入侵时的横向移动。定期审计和测试应用程序是否存在类似漏洞，以确保全面保护。

受影响国家

德国、西班牙、意大利、法国、荷兰

来源： CVE Database V5 发布日期： 2025年12月13日星期六

技术详情

数据版本： 5.2
分配者简称： DIVD
保留日期： 2025-04-15T21:54:36.814Z
CVSS 版本： 4.0
状态： PUBLISHED
威胁 ID： 693d2747f35c2264d84722f0
添加到数据库时间： 2025/12/13, 上午8:43:51
最后丰富时间： 2025/12/13, 上午8:49:49
最后更新时间： 2025/12/14, 上午1:32:45
浏览量： 13