CVE-2025-64130 — 神龙十问 AI 深度分析摘要

🚨 **本质**：反射型 XSS（跨站脚本） 💥 **后果**：攻击者可在受害者浏览器执行 **任意 JavaScript**，导致会话劫持或恶意操作。

🔍 **CWE**：CWE-79（跨站脚本） 🐛 **缺陷**：输入验证缺失，未对用户可控数据（如 URL 参数）进行安全过滤或转义。

📦 **厂商**：Zenitel（挪威） 📱 **产品**：TCIV-3+ IP 对讲终端 ⚠️ **状态**：受影响版本未明确列出，需检查固件版本。

🕵️ **权限**：无需认证（PR:N） 📊 **数据**：可窃取 Cookie、会话令牌，或重定向用户至恶意页面，完全控制前端交互。

🚪 **门槛**：极低（AC:L, UI:N） 🔑 **条件**：无需身份验证，无需用户交互（UI:N），远程直接利用。

🧪 **Exp**：当前 **无公开 PoC**（pocs 为空） 🌍 **在野**：暂无在野利用报告，但 CVSS 评分高，风险极大。

🔎 **自查**：扫描 HTTP 请求中的反射参数 🛡️ **检测**：使用 WAF 规则匹配 XSS 载荷（如 `<script>`、`onerror=`） 📡 **监控**：关注异常 JavaScript 执行日志。

🛠️ **官方**：Zenitel 已发布安全公告 📥 **补丁**：参考官方固件下载页面（VS-IS 包） 🔗 **参考**：CISA ICSA-25-329-03 提供详细缓解建议。

⏳ **临时**：若无补丁，实施 **输入过滤** 🚫 **缓解**：配置 WAF 拦截 XSS 特征 🔒 **隔离**：限制终端访问权限，避免暴露于公网。

🔥 **优先级**：极高（CVSS 9.8） 🚀 **建议**：立即评估影响范围，优先更新固件或应用网络层防护。