Growatt Cloud ポータルにおけるクロスサイトスクリプティング

このXSS脆弱性を悪用されると、攻撃者はユーザーのGrowatt Cloud portalのパーソナルスペースに悪意のあるJavaScriptコードを注入できます。これにより、攻撃者はユーザーのセッションを乗っ取ったり、機密情報を盗んだり、ユーザーを悪意のあるWebサイトにリダイレクトしたりすることが可能になります。攻撃者は、ユーザーがログインしている間にJavaScriptコードを実行し、ユーザーの権限でアクションを実行できます。この脆弱性は、Growatt Cloud portalのセキュリティを著しく損ない、ユーザーのデータとプライバシーを危険にさらす可能性があります。

Growatt Cloud portal users running versions 0.0 through 3.6.0 are at risk. This includes solar energy system owners, installers, and monitoring service providers who rely on the portal for managing and analyzing their solar energy systems. Shared hosting environments where multiple users share the same Growatt Cloud portal instance are particularly vulnerable.

• php / web:

curl -I 'https://your-growatt-portal.com/personal_space?input=<script>alert(1)</script>' | grep -i 'content-security-policy'

• generic web:

curl -s 'https://your-growatt-portal.com/personal_space?input=<script>alert(1)</script>' | grep 'alert(1)'

1. 2025-04-15Disclosure

   disclosure

1. 予約済み2025-04-01
2. 公開日2025-04-15
3. 更新日2025-04-16
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、Growatt Cloud portalをバージョン3.6.0にアップデートすることを推奨します。アップデートがすぐに利用できない場合は、Webアプリケーションファイアウォール(WAF)を使用して、XSS攻撃をブロックすることを検討してください。また、入力検証を強化し、パーソナルスペースへの入力に対するサニタイズ処理を実装することで、脆弱性の影響を軽減できます。WAFルールは、<script>タグやイベントハンドラなどの悪意のあるコードを検出するように設定する必要があります。