Osmedeus Web Server 存在存储型 XSS 漏洞，可能导致 github.com/j3ssie/osmedeus 中的 RCE

该XSS漏洞的潜在影响非常严重。攻击者可以利用它来窃取用户会话cookie，冒充用户执行操作，甚至完全控制受影响的服务器。攻击者可以注入恶意脚本，这些脚本会在其他用户浏览Osmedeus Web Server提供的页面时执行，从而窃取敏感信息或篡改页面内容。由于该漏洞可能导致远程代码执行，攻击者可以进一步控制服务器，进行数据泄露、恶意软件部署等活动。这种攻击模式类似于其他XSS漏洞，但由于其可能导致RCE，因此风险更高。

Organizations and individuals using the Osmedeus Web Server in production environments, particularly those who have not implemented robust input validation and output encoding practices, are at significant risk. Those relying on Osmedeus for critical web applications or handling sensitive user data should prioritize patching.

• go / server:

find / -name 'osmedeus' -type d -print0 | xargs -0 grep -i 'github.com/j3ssie/osmedeus'

• generic web:

curl -I https://your-osmedeus-server/ | grep -i 'X-Powered-By: Osmedeus'

1. 2024-11-06Disclosure

   disclosure

1. 已保留2024-10-31
2. 发布日期2024-11-06
3. 修改日期2026-03-03
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到Osmedeus Web Server 4.6.5或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：实施严格的输入验证和输出编码，以防止恶意脚本注入。配置Web应用防火墙（WAF），以检测和阻止XSS攻击。审查Osmedeus Web Server的配置，确保没有不必要的权限或功能。如果可能，限制对Osmedeus Web Server的访问，只允许授权用户访问。升级后，请验证新版本是否已成功部署，并确认XSS漏洞已得到修复。