应用程序： Rittal CMC PU III Web 管理界面
受影响设备： CMC PU III 7030.000
软件版本： 从 V3.11.00_2 到 V3.15.70_4
硬件版本： 从 V3.00 到 V6.01
攻击类型： 存储型 XSS
解决方案： 升级到软件版本 V3.17.10 或更高版本
摘要： Web 应用程序未能在系统配置页面上对用户输入进行净化处理。这使攻击者能够使用 HTML 和浏览器解释的内容（如 JS 或其他客户端脚本）对设备进行后门植入，因为该内容在登录前后都会一直显示。持久性 XSS 允许攻击者修改显示内容或更改受害者的信息。成功利用需要访问 Web 管理界面，可使用有效凭据或被劫持的会话。
技术描述： 参见 CVE-2019-19393.pdf
时间线：
