本安全公告针对 Moxa 以太网交换机中发现的两处漏洞。
CVE-2025-1679
在 Moxa 以太网交换机中发现一处跨站脚本漏洞。具备管理员权限的攻击者可向受影响设备的Web服务注入恶意脚本，可能会影响已通过身份验证的用户与设备 Web 界面的交互。此漏洞属于存储型跨站脚本攻击 (XSS)；攻击者将恶意脚本注入系统后，这些脚本会持续存在并跨会话生效。受攻击设备的保密性、完整性和可用性未受影响；任何后续系统的可用性也未受影响，但保密性和完整性受到一定程度损害。
CVE-2025-1680
在 Moxa 以太网交换机中发现一处“可信数据中混入无关不可信数据”的漏洞。具备管理员权限的攻击者可借此在发送至受影响设备 Web 服务的 HTTP 请求中，注入特制 Host 头部，达到操纵 HTTP Host 头部的目的。此漏洞属于 Host 头部注入，攻击者可通过操纵无效 Host 头部，实现用户重新定向、链接伪造或网络钓鱼攻击。受攻击设备的保密性、完整性和可用性未受影响；任何后续系统的保密性、完整性和可用性也未受损害。
由于上述问题被评定为中低风险等级，用户可先评估自身环境，再决定是否在下一维护或更新周期内安排更新。
已识别的漏洞类型和潜在影响如下所示
| CVE ID |
漏洞类型 |
影响 |
| CVE-2025-1679 |
CWE-79：网页生成过程中未正确中和输入（“跨站脚本”）
|
CAPEC-63：跨站脚本攻击 (XSS)
|
| CVE-2025-1680 |
CWE-349：混合使用外部不可信数据与可信数据
|
CAPEC-154：资源位置欺骗攻击
|
漏洞评分信息
|
CVE ID
|
基础得分
|
漏洞载体
|
严重程度 |
是否无需身份验证
即可远程利用漏洞
|
| CVE-2025-1679 |
CVSS 4.0: 4.8
|
AV:N/AC:L/AT:N/PR:H/UI:P/
VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
|
中 |
低 |
| CVE-2025-1680 |
CVSS 4.0: 0.0 |
AV:N/AC:L/AT:P/PR:L/UI:P/
VC:N/VI:N/VA:N/SC:N/SI:N/SA:N
|
否 |
否 |