Chunghwa Telecom TenderDocTransfer - 反射型跨站脚本漏洞导致远程代码执行

该 XSS 漏洞的潜在影响非常严重。攻击者可以利用此漏洞窃取用户的敏感信息，例如 Cookie 和会话令牌，从而冒充用户执行恶意操作。更糟糕的是，由于应用程序支持 Node.Js 功能，攻击者可以利用此漏洞在服务器上执行 OS 命令，从而完全控制受影响的系统。这可能导致数据泄露、系统损坏，甚至可能导致整个网络被攻陷。攻击者可以利用此漏洞进行横向移动，攻击其他连接到同一网络的系统。由于漏洞的严重性和攻击的潜在影响，该漏洞应被视为高优先级。

Organizations and individuals utilizing TenderDocTransfer in their workflows are at risk, particularly those relying on the application for sensitive data transfer. Shared hosting environments where multiple users share the same server instance are especially vulnerable, as a successful attack could potentially impact other users on the same server.

• nodejs / server:

grep -r 'TenderDocTransfer' /var/log/nodejs/

• generic web:

curl -I <target_url> | grep -i 'X-XSS-Protection'

• generic web:

curl -I <target_url> | grep -i 'Content-Security-Policy'

1. 2024-12-16Disclosure

   disclosure

1. 已保留2024-12-16
2. 发布日期2024-12-16
3. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到 TenderDocTransfer 的 0.41.157 版本。如果升级不可行，可以考虑以下临时缓解措施：首先，实施严格的输入验证和输出编码，以防止恶意脚本注入。其次，实施 CSRF 保护机制，以防止攻击者利用 API 执行未经授权的操作。第三，监控应用程序的访问日志，以检测可疑活动。如果发现可疑活动，立即采取措施隔离受影响的系统。最后，可以考虑使用 Web 应用程序防火墙 (WAF) 来过滤恶意流量，并阻止攻击者利用此漏洞。升级后，请验证新版本是否已成功部署，并且漏洞已得到修复。