OCS Inventory NG Server User-Agent के माध्यम से Stored XSS

OCS Inventory NG Server में CVE-2026-22675 भेद्यता, 2.12.4 से पहले के संस्करणों को प्रभावित करती है, जो एक महत्वपूर्ण सुरक्षा जोखिम पैदा करती है। यह अनधिकृत हमलावरों को वेब कंसोल तक पहुंचने वाले उपयोगकर्ताओं के ब्राउज़रों में मनमाना जावास्क्रिप्ट कोड निष्पादित करने की अनुमति देता है। यह /ocsinventory एंडपॉइंट पर दुर्भावनापूर्ण User-Agent HTTP हेडर इंजेक्ट करके प्राप्त किया जाता है। इन हेडर का उचित सैनिटाइजेशन की कमी, और कंसोल में जानकारी प्रदर्शित करते समय अपर्याप्त एन्कोडिंग, दुर्भावनापूर्ण कोड के निष्पादन को आसान बनाती है। एक हमलावर नकली एजेंटों को पंजीकृत कर सकता है या हानिकारक जावास्क्रिप्ट स्क्रिप्ट युक्त User-Agent को शामिल करने के लिए अनुरोधों में हेरफेर करके इन्वेंट्री बुनियादी ढांचे की सुरक्षा से समझौता कर सकता है।

1. आरक्षित2026-01-08
2. प्रकाशित2026-04-06
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-14

CVE-2026-22675 को कम करने के लिए अनुशंसित समाधान OCS Inventory NG Server को संस्करण 2.12.4 या उच्चतर में अपग्रेड करना है। इस संस्करण में क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता को रोकने के लिए आवश्यक फिक्स शामिल हैं। इस बीच, एक अस्थायी उपाय के रूप में, /ocsinventory एंडपॉइंट तक पहुंच को केवल विश्वसनीय स्रोतों तक सीमित करें और संदिग्ध गतिविधि के लिए सर्वर लॉग की निगरानी करें। कंटेंट सिक्योरिटी पॉलिसी (CSP) जैसे HTTP सुरक्षा हेडर को लागू करने से XSS हमले के संभावित प्रभाव को कम करने में मदद मिल सकती है, हालांकि यह संपूर्ण समाधान नहीं है। डेटा अखंडता और गोपनीयता सुनिश्चित करने के लिए सुरक्षा पैच लागू करना सर्वोत्तम अभ्यास है।