TWCERT揭露 ITS智能圖控系統 2.1 版存在兩個 Stored Cross-Site 漏洞，攻擊者需先取得管理權限後，才能在特定頁面植入持久性 JavaScript，進而於使用者瀏覽時自動執行。兩項漏洞 CVSS 均為 4.8，屬中度風險。
台灣漏洞揭露平台公告，ITS智能圖控系統 2.1 版本存在兩個漏洞，TVN ID 為 TVN-202605003，對應 CVE 編號為 CVE-2026-10057 與 CVE-2026-10058。[1]
兩個漏洞的 CVSS 分數皆為 4.8，屬於 Medium，評估向量同為 CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N。[1]
公告描述指出，這兩項漏洞皆屬於 Stored Cross-Site 類型：已取得管理權限的遠端攻擊者，可在特定頁面注入持久性 JavaScript 程式碼，當其他使用者瀏覽該頁面時便會自動執行。[1]
從公告內容來看，這次事件的核心風險在於已取得管理權限後，攻擊者可利用特定頁面進行持久性 JavaScript 注入。[1]
CVSS 向量中的 PR:H 表示攻擊者需要高權限，這代表漏洞利用前提是攻擊者已先取得管理層級存取權；UI:R 則表示受害者必須進行互動，也就是瀏覽遭植入內容的頁面後，惡意程式碼才會觸發。[1]
Stored Cross-Site 的危害在於惡意腳本會被系統持久保存，而不是只存在於一次性請求中，因此只要頁面內容未被清除，之後每次被載入都可能再次執行。[1]
由於公告提及的是「在特定頁面注入持久性 JavaScript 程式碼」，可推知漏洞點可能與系統的頁面內容儲存、後端欄位驗證或前端輸出過濾不足有關；不過來源未揭露具體欄位與程式碼位置，因此不能進一步推定實作細節。[1]
兩個 CVE 的描述完全一致，顯示它們可能屬於同一類輸入驗證缺失，或是發生在不同模組但具相同攻擊結果的重複問題。[1]
雖然 CVSS 僅為 4.8，但在實際營運環境中，這類漏洞仍可能造成管理介面內容遭惡意腳本影響；上述效果屬於根據 Stored Cross-Site 攻擊特性所做的合理推論，而非公告明載內容。
依公告內容，受影響產品為 ITS智能圖控系統 2.1 版本。[1]
公告未說明其他版本是否受影響，因此目前只能確認 2.1 版本存在風險，不能外推至其他版本。[1]
若該系統部署於工控、監控或關鍵營運環境，Stored Cross-Site 的後果通常不只侷限於單一頁面異常，還可能擴散至管理流程與操作可信度；但這些實際衝擊仍取決於該系統在組織內的使用方式，公告本身未提供更細部的產業情境。[1]
由於公告內容未提供修補版本或官方緩解措施，現階段的防護重點應放在降低可被植入的機會與縮小管理權限暴露面。[1]
首先，應立即盤點 ITS智能圖控系統 2.1 的管理帳號、頁面編輯權限與內容輸入點，確認是否存在可寫入可執行腳本的欄位，並優先限制非必要的管理操作權限。[1]
其次，系統應落實輸入驗證與輸出編碼，特別是任何會被回顯到網頁的內容，都不應直接以未過濾方式輸出成 HTML 或 JavaScript 可執行區塊；這是防禦 Stored Cross-Site 的基本原則，屬於依漏洞型態推導的通用修補方向。
第三，應檢查前端是否啟用適當的 Content Security Policy 與其他瀏覽器層級防護，以降低惡意腳本執行成功率；此建議同樣屬通用防護措施，公告未明示是否已部署。
第四，對管理頁面與可編輯頁面建立稽核紀錄，保存誰在何時修改了哪些內容，並在出現異常 JavaScript 字串、異常跳轉或不明事件處理器時立即告警。
第五，若廠商後續釋出更新，應優先於測試環境驗證後再部署到正式環境，並同步檢查是否仍可透過任何頁面重現注入行為。
5步驟修補清單