平台
php
组件
ocs-inventory-ng
修复版本
2.12.4
CVE-2026-22675 是 OCS Inventory NG Server 中发现的一个存储型跨站脚本 (XSS) 漏洞。该漏洞允许未经身份验证的攻击者通过提交恶意 User-Agent HTTP 头部到 /ocsinventory 端点来执行任意 JavaScript 代码，可能导致敏感信息泄露或用户会话劫持。受影响的版本包括 OCS Inventory NG Server 2.12.3 及更早版本，已于 2.12.4 版本修复。
OCS Inventory NG Server 在 2.12.4 版本之前存在的 CVE-2026-22675 漏洞，构成重大的安全风险。它允许未经身份验证的攻击者在访问 Web 控制台的用户浏览器中执行任意 JavaScript 代码。这通过向 /ocsinventory 端点注入恶意 User-Agent HTTP 标头来实现。这些标头的适当清理不足，以及在控制台中显示信息时编码不足，使得恶意代码的执行变得容易。攻击者可以注册虚假代理或操纵请求以包含包含恶意 JavaScript 脚本的 User-Agent，从而危及库存基础设施的安全性。
攻击者可以通过发送包含恶意 JavaScript 代码的特殊构造的 'User-Agent' 标头的 HTTP 请求来利用此漏洞。此代码将存储在服务器上，然后在 OCS Inventory NG Server Web 控制台中显示。当合法用户访问控制台时，JavaScript 代码将在其浏览器中执行，从而使攻击者能够窃取敏感信息、将用户重定向到恶意网站或执行其他有害操作。由于不需要身份验证来发送这些标头，因此此漏洞尤其令人担忧，因为任何人都可以尝试利用它。
漏洞利用状态
EPSS
0.04% (12% 百分位)
CISA SSVC
CVSS 向量
减轻 CVE-2026-22675 的推荐解决方案是将 OCS Inventory NG Server 升级到 2.12.4 或更高版本。此版本包含防止跨站点脚本 (XSS) 漏洞所需的修复程序。作为临时措施，请仅将 /ocsinventory 端点的访问限制为受信任的来源，并监控服务器日志是否存在可疑活动。实施 HTTP 安全标头，例如内容安全策略 (CSP)，可以帮助减少 XSS 攻击的潜在影响，但这并非完整的解决方案。应用安全补丁是确保数据完整性和机密性的最佳实践。
Actualice OCS Inventory NG Server a la versión 2.12.4 o superior para mitigar la vulnerabilidad de XSS. Esta versión corrige la falta de sanitización de los encabezados HTTP User-Agent, evitando la ejecución de código JavaScript malicioso en el navegador de usuarios autenticados.
漏洞分析和关键警报直接发送到您的邮箱。
XSS (跨站点脚本) 是一种安全漏洞，允许攻击者将恶意脚本注入到合法的网站中。这些脚本在访问网站的用户的浏览器中执行，从而可能允许攻击者窃取信息、重定向用户或执行其他有害操作。
如果您使用的是 OCS Inventory NG Server 的 2.12.4 之前的版本，则容易受到攻击。请检查服务器日志中 'User-Agent' 标头的异常模式。
限制对 /ocsinventory 端点的访问，并考虑实施 CSP 等 HTTP 安全标头。
攻击者可能窃取用户凭据、网络库存信息以及存储在 OCS Inventory NG Server 系统中的其他敏感数据。
您可以在 NIST 的国家漏洞数据库 (NVD) 等漏洞数据库中找到有关 CVE-2026-22675 的更多信息。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。