PPC (Belden) ONT 2K05X 路由器

作者： Jeyabalaji
受影响产品代码库： PPC 2K05X 路由器 - V1.1.9_206L
测试环境： Windows 11
CVE： CVE-2025-70545

描述：

PPC (Belden) ONT 2K05X 路由器（固件版本 v1.1.9_206L）的 Web 管理界面存在存储型跨站脚本（XSS）漏洞。通用网关接口（CGI）组件未正确处理用户提供的输入，允许远程未认证攻击者注入任意 JavaScript，该脚本会被持久化存储，并在访问受影响界面时执行。

受影响组件：

Web 管理界面，通用网关接口（CGI）

复现步骤：

1. 向 Web 管理界面发送一个带有经过修改的 browserLang 参数的恶意 HTTP 请求。
2. 观察后端逻辑存储所提供的值。
3. 使用 Web 浏览器访问受影响的管理界面。
4. 确认存储的 browserLang 值在浏览器上下文中被渲染并执行。

缓解措施：

应在 CGI 组件中强制执行输入验证和输出编码。用户提供的输入在存储和渲染之前必须进行适当的清理。