漏洞概述
FleetDM 是一款开源的设备管理软件。在受影响版本中，若启用了 Windows MDM 功能，未经身份验证的攻击者可利用此跨站脚本（XSS）漏洞窃取 Fleet 管理员存储在浏览器 localStorage 中的身份认证令牌（FLEET::auth_token），从而获得对 Fleet 系统的未授权访问权限，包括管理员权限、设备数据可见性及配置修改能力。
漏洞详情
- CVE 编号：CVE-2026-22808
- 漏洞类型：跨站脚本（XSS）（CWE-79）
- CVSS 评分：5.5（中危）
- 影响版本：FleetDM 4.78.2、4.77.1、4.76.2、4.75.2 和 4.53.3 之前的版本
影响范围
所有启用 Windows MDM 功能且运行以下版本的 FleetDM 实例均受影响：
低于 4.78.2、4.77.1、4.76.2、4.75.2 或 4.53.3 的版本。
风险分析
攻击者可通过构造恶意请求，在受害者访问包含 XSS 载荷的页面时，被动窃取其 localStorage 中的管理员认证令牌。由于该漏洞无需用户主动交互（UI: Passive），且攻击前提条件已存在（AT: Present），一旦成功利用，将导致子系统机密性、完整性与可用性完全受损（SC/SI/SA: High），可能造成整个设备管理平台被接管。
修复建议
- 立即升级至官方发布的安全版本：4.78.2、4.77.1、4.76.2、4.75.2 或 4.53.3。
- 如无法立即升级，建议临时禁用 Windows MDM 功能以缓解风险。
