Assembly Variant Name 中的存储型跨站脚本 (XSS) 漏洞

该 XSS 漏洞允许攻击者在受害者浏览 Autodesk Fusion 应用程序时执行恶意脚本。攻击者可以通过在组件变体名称中注入恶意 HTML 代码，并在用户点击删除确认对话框时触发该代码来利用此漏洞。成功利用此漏洞可能导致攻击者窃取敏感信息，例如用户凭据或本地文件内容。此外，攻击者还可能利用此漏洞在受害者计算机上执行任意代码，从而完全控制受害者系统。由于该漏洞允许读取本地文件，因此可能导致信息泄露，而代码执行能力则可能导致系统被完全控制。

Users of Autodesk Fusion who are actively working with assembly variants and relying on the delete confirmation dialog are at risk. This includes engineers, designers, and project managers who frequently manage and delete project assets within the application. Shared hosting environments where multiple users access the same Fusion installation may amplify the risk.

• windows / supply-chain:

Get-WinEvent -LogName Application -FilterXPath "/Event[System[Provider[@Name='Microsoft-Windows-PowerShell'] and (EventID=4688)] and EventData[Data[@Name='Command Line'] and contains(., 'Fusion.exe')]]"

• windows / supply-chain:

Get-Process -Name Fusion | Select-Object -ExpandProperty Path

• generic web: Inspect the delete confirmation dialog for unexpected HTML or JavaScript code.

1. 2026-04-14Disclosure

   disclosure

1. 已保留2026-03-18
2. 发布日期2026-04-14
3. 修改日期2026-04-15
4. EPSS 更新日期2026-04-22

最有效的缓解措施是立即将 Autodesk Fusion 升级至 2702.1.47 或更高版本，该版本包含此漏洞的修复程序。如果无法立即升级，则应考虑实施临时缓解措施。虽然没有直接的配置绕过，但可以限制用户对组件变体名称的输入，以减少攻击面。监控 Autodesk Fusion 应用程序的日志文件，以查找任何可疑活动。在升级后，验证漏洞是否已成功修复，可以通过尝试触发删除确认对话框并检查是否执行了任何恶意脚本来完成。