CVE-2022-3562 — 神龙十问 AI 深度分析摘要

🚨 **本质**：存储型跨站脚本 (XSS) 漏洞。 💥 **后果**：恶意脚本被持久化存储，受害者访问时触发，导致会话劫持或页面篡改。

🔍 **CWE**：CWE-79 (跨站脚本)。 🐛 **缺陷**：输入验证缺失，未对用户提交的数据进行安全的编码处理。

📦 **产品**：LibreNMS (基于 PHP/MySQL 的网络监控)。 📅 **版本**：**22.10.0 之前**的所有版本。

🕵️ **黑客能力**：执行任意 JavaScript。 📊 **数据风险**：窃取管理员 Cookie、重定向用户、伪造请求，破坏监控数据完整性。

🚪 **门槛**：中等。 🔑 **条件**：通常需具备**写入权限**（如创建设备、修改配置），将恶意载荷注入到存储区域。

📜 **Exp/PoC**：数据中未提供现成 Exp。 🌍 **在野利用**：暂无公开在野利用报告，但风险真实存在。

🔎 **自查**：检查 LibreNMS 版本是否 < 22.10.0。 🧪 **扫描**：使用 WAF 日志监测包含 `<script>` 或 `onerror=` 的存储型注入尝试。

🛡️ **修复**：官方已修复。 🔗 **补丁**：参考 GitHub Commit `43cb725`，升级至 **22.10.0 或更高版本**。

🚧 **临时规避**： 1. 严格限制**写入权限**。 2. 部署 WAF 拦截 XSS 特征。 3. 启用 HTTPOnly Cookie 减少窃取影响。

⚡ **优先级**：**高**。 📢 **建议**：存储型 XSS 危害持久，建议立即升级版本，避免管理员账号被控。