CVE-2026-30695 — CVE-2026-30695の概念実証。Zucchetti Axessアクセス制御デバイスにおける、dirBrowseパラメータを介した認証済みXSSであり、セッションハイジャックと設定変更を可能にします。 | Kitploit

共有

CVE-2026-30695 - Zucchetti Axess における XSS

概要

Zucchetti Axess アクセス制御デバイス（XA4、X3/X3BIO、X4、X7、XIO、i-door、i-door+）の Web ベース設定インターフェースに、クロスサイトスクリプティング（XSS）の脆弱性が存在します。

この脆弱性は、/file_manager.cgi エンドポイントの dirBrowse パラメータにおけるユーザー入力のサニタイズ処理が不適切であることに起因します。認証された攻撃者は、管理者ユーザーのコンテキストで実行される任意の JavaScript コードを注入できます。

悪用に成功すると、セッションハイジャック、不正な設定変更、機密情報の漏えいにつながる可能性があります。

影響を受ける製品

XIO h06 build 5522
IDOOR+ h06 build 5522
XA4 h06 build 5522
X3 h02 build 4163

PoC

GET /file_manager.cgi?dirBrowse=PAYLOAD

基本的なペイロード例:

">

影響