设计名称中的存储型跨站脚本 (XSS) 漏洞

该 XSS 漏洞允许攻击者在受影响的 Autodesk Fusion 应用程序中执行恶意脚本。攻击者可以利用此漏洞窃取用户的敏感信息，例如登录凭据或设计数据。更严重的攻击者甚至可能利用此漏洞在用户的计算机上执行任意代码，从而完全控制系统。由于 CSV 文件可以被广泛共享，因此该漏洞的潜在影响范围非常广泛，可能导致数据泄露和系统入侵。攻击者可以利用此漏洞，通过诱骗用户打开包含恶意脚本的 CSV 文件，从而实现攻击。

Organizations and individuals using Autodesk Fusion for design and engineering are at risk. Specifically, users who regularly export designs to CSV format and share those files with others are particularly vulnerable. Shared hosting environments where multiple users access the same Fusion installation could also amplify the risk, as a compromised user could potentially affect other users on the same system.

• windows / supply-chain:

Get-WinEvent -LogName Application -FilterXPath "*[System[Provider[@Name='Fusion.Desktop.App']] and EventID=1234]" -ErrorAction SilentlyContinue

• windows / supply-chain:

Get-Process -Name Fusion.Desktop.App -ErrorAction SilentlyContinue | Select-Object -ExpandProperty CommandLine

• generic web: Inspect CSV files exported from Autodesk Fusion for suspicious HTML tags (e.g., <script>, <iframe>) within design names.

1. 2026-04-14Disclosure

   disclosure

1. 已保留2026-03-17
2. 发布日期2026-04-14
3. 修改日期2026-04-15
4. EPSS 更新日期2026-04-22

缓解此漏洞的首要措施是立即升级到 Autodesk Fusion 2702.1.47 或更高版本。如果无法立即升级，可以考虑限制用户访问可能包含恶意 HTML 代码的设计文件。此外，实施严格的文件审查流程，以防止恶意 CSV 文件进入系统。在升级期间，如果遇到兼容性问题，可以尝试回滚到之前的稳定版本，并联系 Autodesk 技术支持寻求帮助。建议配置 Web 应用防火墙 (WAF) 或代理服务器，以过滤包含可疑脚本的 CSV 文件。