भेद्य पैरामीटर

डिवाइस के कॉन्फ़िगरेशन फ़ॉर्म में कई अनसैनिटाइज़्ड इनपुट फ़ील्ड पाए गए जो अनएस्केप्ड स्क्रिप्ट सामग्री को संग्रहीत और बाद में प्रतिबिंबित करते हैं, जिनमें शामिल हैं:

• btRefresh — कनेक्शन प्रबंधन फ़ॉर्म (/Forms/connections_mgmt_1)
  • रीबूट पर पेलोड साफ़ हो जाता है।
• txtDevice, txtContact, txtLocation — सिस्टम कॉन्फ़िगरेशन फ़ॉर्म (/Forms/system_config_1)
  • पेलोड बूट के बीच बना रहता है।

प्रूफ ऑफ कॉन्सेप्ट (सैनिटाइज़्ड)

पेलोड प्रभावित फ़ॉर्मों पर प्रमाणित POST अनुरोधों के रूप में सबमिट किए गए थे, उदाहरण के लिए:

सत्यापित व्यवहार:

• पेलोड व्यवस्थापक सबमिशन पर तुरंत निष्पादित होता है।
• पेलोड कॉन्फ़िगरेशन स्टोरेज में बना रहता है और प्रत्येक बाद के पृष्ठ लोड पर फिर से सक्रिय होता है।
• पेलोड पूर्ण डिवाइस रीबूट से बच जाता है, जो क्षणिक सत्र/कैश के बजाय स्टोरेज परत पर स्थायित्व की पुष्टि करता है।

सत्यापित व्यवहार:

• पेलोड व्यवस्थापक सबमिशन पर तुरंत निष्पादित होता है।
• पेलोड कॉन्फ़िगरेशन स्टोरेज में बना रहता है और प्रत्येक बाद के पृष्ठ लोड पर फिर से सक्रिय होता है।
• पूर्ण डिवाइस रीबूट पर पेलोड साफ़ हो जाता है।

उपचार

1. आगमन पर सख्त इनपुट सत्यापन — किसी भी इनपुट को अस्वीकार करें (सैनिटाइज़ करने का प्रयास करने के बजाय) जो किसी दिए गए फ़ील्ड के लिए अपेक्षित प्रारूप से मेल नहीं खाता (जैसे, केवल-वर्णमाला नाम फ़ील्ड, सख्त regex-सत्यापित ईमेल फ़ील्ड)।
2. रेंडर पर HTML आउटपुट एन्कोडिंग — HTML प्रतिक्रियाओं में लिखे गए सभी उपयोगकर्ता-आपूर्ति डेटा को एन्कोड करें, पृष्ठ रेंडर होने से पहले मेटाकैरेक्टर (<, >, ", ', &) को उनके HTML इकाई समकक्षों में परिवर्तित करें।

संदर्भ

• विक्रेता सलाह: Digi Security Advisory — Stored Cross-Site Scripting (XSS)
• CISA ICS सलाह: ICSA-26-188-07
• NVD: CVE-2026-12948

प्रकटीकरण समयरेखा

• MITRE/CISA समन्वय के साथ समन्वित प्रकटीकरण के माध्यम से Digi को रिपोर्ट किया गया
• CVE-2026-12948 निर्दिष्ट किया गया
• Digi International और CISA द्वारा सार्वजनिक सलाह प्रकाशित की गई