CVE-2021-46355 — 神龙十问 AI 深度分析摘要

🚨 **漏洞本质**：OCS Inventory 2.9.1 处理设备名时未过滤恶意输入。 💥 **后果**：攻击者可注入 **XSS 代码** → 用户浏览受感染设备时触发脚本执行。

🔍 **根本原因**：缺乏输入验证 & 输出编码。 📌 **缺陷点**：设备名称字段直接渲染到页面 → 触发 **存储型 XSS**（类似 CWE-79）。

🎯 **影响范围**： - **版本**：OCS Inventory **2.9.1** - **组件**：IT 资产管理模块（如打印机等设备登记）

⚠️ **黑客能力**： - **无需高权限** - 可窃取会话 🍪、劫持操作 👤 - 可篡改页面内容 🖼️、诱导点击 🎯

✅ **利用门槛**：低 🔓 - **无需认证** - 只需能修改设备名（如打印机注册）

🧪 **现有 PoC**：无官方 PoC 📭 - **在野利用**：未提及 ❌ - 参考文章 📎 仅分析原理

🔎 **自查方法**： - 检查设备名是否含 `<script>`、`on*` 等可疑标签 🕵️ - 审计页面渲染逻辑 🧾 - 用浏览器 DevTools 检测异常脚本 🛠️

🛡️ **官方修复**： - 描述中 **未提补丁** ❗ - 暂无明确升级或修复公告 📢

⚡ **临时规避**： - 禁用设备名 HTML 渲染 ✂️ - 对设备名做严格白名单校验 🧼 - 限制非管理员修改设备信息 🔐

🔥 **优先级**：高 🚨 - **易利用 + 可持久化攻击** - 涉及敏感 IT 资产视图 → 需尽快排查 🧨