漏洞概述
Genexis Platinum-4410 P4410-V2-1.31A 固件版本中，安全管理系统界面的 ‘start_addr’ 参数存在存储型跨站脚本（Stored XSS）漏洞。攻击者可通过“起始源地址”字段注入恶意脚本，该脚本将被持久化存储，并在特权用户访问安全管理页面时自动触发，可能导致会话劫持、信息泄露或权限提升等风险。
漏洞详情
- CVE 编号：CVE-2021-47858
- 漏洞类型：存储型跨站脚本（Stored Cross-Site Scripting, CWE-79）
- CVSS 评分：CVSS v3.1 基础评分为 7.2（HIGH），CVSS v4.0 基础评分为 5.1（MEDIUM）
- 影响版本：Genexis Platinum-4410 P4410-V2-1.31A
影响范围
该漏洞影响 Genexis Platinum-4410 路由器运行固件版本 P4410-V2-1.31A 的设备。其他版本是否受影响需进一步验证，但建议所有使用该系列设备的用户关注厂商安全公告。
风险分析
由于该 XSS 漏洞为存储型，且可被低权限或无需认证的攻击者利用（CVSS v3.1 中 PR:N、UI:N），攻击者可注入恶意 JavaScript 代码并长期驻留在设备管理界面中。当管理员或其他高权限用户访问受影响页面时，脚本将自动执行，可能导致 Cookie 窃取、会话劫持、钓鱼攻击或进一步的内网渗透。尽管漏洞本身不直接导致远程代码执行，但可作为高级持续性威胁（APT）的初始入口点。
修复建议
- 目前官方尚未发布明确的补丁或固件更新。建议用户联系 Genexis 官方支持获取最新安全版本或缓解方案。
- 作为临时缓解措施，应限制对设备 Web 管理界面的网络访问（如仅允许可信 IP 访问），并避免使用高权限账户频繁登录管理界面。
