Growatt Cloud पोर्टल पर क्रॉस-साइट स्क्रिप्टिंग (Cross-site Scripting)

यह XSS भेद्यता हमलावरों को Growatt Cloud Portal उपयोगकर्ताओं के ब्राउज़र में दुर्भावनापूर्ण स्क्रिप्ट चलाने की अनुमति देती है। हमलावर उपयोगकर्ता के सत्र कुकीज़ चुरा सकते हैं, संवेदनशील जानकारी (जैसे लॉगइन क्रेडेंशियल, ऊर्जा उत्पादन डेटा) प्राप्त कर सकते हैं, या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट कर सकते हैं। इसके अतिरिक्त, हमलावर उपयोगकर्ता के खाते को पूरी तरह से नियंत्रित कर सकते हैं और उनके डेटा को संशोधित या हटा सकते हैं। इस भेद्यता का उपयोग फ़िशिंग हमलों को अंजाम देने या अन्य दुर्भावनापूर्ण गतिविधियों को करने के लिए भी किया जा सकता है। चूंकि Growatt Cloud Portal का उपयोग ऊर्जा निगरानी और प्रबंधन के लिए किया जाता है, इसलिए इस भेद्यता का शोषण ऊर्जा बुनियादी ढांचे पर भी प्रभाव डाल सकता है।

Growatt Cloud portal users running versions 0.0 through 3.6.0 are at risk. This includes solar energy system owners, installers, and monitoring service providers who rely on the portal for managing and analyzing their solar energy systems. Shared hosting environments where multiple users share the same Growatt Cloud portal instance are particularly vulnerable.

• php / web:

curl -I 'https://your-growatt-portal.com/personal_space?input=<script>alert(1)</script>' | grep -i 'content-security-policy'

• generic web:

curl -s 'https://your-growatt-portal.com/personal_space?input=<script>alert(1)</script>' | grep 'alert(1)'

1. 2025-04-15Disclosure

   disclosure

1. आरक्षित2025-04-01
2. प्रकाशित2025-04-15
3. संशोधित2025-04-16
4. EPSS अद्यतन2026-03-23

Growatt Cloud Portal को तुरंत संस्करण 3.6.0 में अपडेट करें। यदि अपग्रेड संभव नहीं है, तो वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके XSS हमलों को रोकने का प्रयास करें, जो इनपुट को फ़िल्टर कर सके। सर्वर-साइड इनपुट सत्यापन को मजबूत करने के लिए कॉन्फ़िगरेशन की समीक्षा करें और सुनिश्चित करें कि सभी उपयोगकर्ता इनपुट को ठीक से सैनिटाइज़ किया गया है। जावास्क्रिप्ट कोड इंजेक्शन के प्रयासों का पता लगाने के लिए लॉगिंग और निगरानी को सक्षम करें। अस्थायी रूप से, उपयोगकर्ता के निजी स्थानों में संवेदनशील जानकारी प्रदर्शित करने से बचें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, एक बुनियादी XSS परीक्षण करें।