关键漏洞信息 漏洞概述 CVE编号: CVE-2024-55040 产品: Sensaphone Web600 Monitoring System 漏洞类型: 存储型跨站脚本（XSS） 影响范围: 系统设置、配置文件和区域选项 严重性: 中等到低 漏洞细节 1. 通过Web600设置的存储型XSS - 攻击者可以通过系统设置中的名称、描述和位置字段注入任意JavaScript有效载荷。 - 利用方式: 通过精心设计的GET请求到 ，在 、 和 参数中放置有效载荷。 2. 通过Web600配置文件的存储型XSS - 攻击者可以通过设备配置文件选项注入任意JavaScript有效载荷。 - 利用方式: 通过精心设计的GET请求到 ，在 参数中放置有效载荷。 3. 通过Web600区域的存储型XSS - 攻击者可以通过区域选项注入任意JavaScript有效载荷。 - 利用方式: 通过精心设计的GET请求到 ，在 参数中放置有效载荷。 披露时间线 2023年9月23日: 研究员提供漏洞披露报告 2024年10月21日: 厂商确认漏洞 2024年10月21日至11月4日: 研究员询问厂商是否打算修复（无回应） 2024年11月22日: 研究员提交CVE请求给Mitre 2025年1月31日: CVE-2024-55040被Mitre预留 影响与风险 有限的影响: 漏洞的严重性有限，但允许较低权限用户窃取会话令牌，提升权限并进行未经授权的修改。 厂商响应: 厂商未对是否发布补丁作出回应，指出产品应运行在私有网络上以减少利用风险。