没查询到IMC涉及该漏洞

iMC 漏扫 CVE‑2026‑71497（jsoup 库 XSS 漏洞）处理方案

CVE‑2026‑71497：jsoup HTML 解析库 XSS 漏洞，CVSS4.7（中危），影响版本 jsoup 1.14.3 ~ 1.23.0，修复版本 1.23.1NVD。 iMC 是打包内置 jsoup jar 包，不能手动替换 jar 包（替换会破坏 iMC 运行、升级失败、组件异常），只能等待 H3C 官方 iMC 版本补丁 / 新版本发布。

漏洞原理

只有应用使用自定义 Safelist 允许 raw‑text 元素（style/iframe/title）时才可以被利用；使用 jsoup 内置默认 Safelist 不受影响GitHub Gis...。

iMC 产品侧：目前 H3C 暂未发布针对该 CVE 的官方补丁。

一、永久修复（官方方案）

1. 等待新华三发布iMC PLAT 的补丁包 / 新版本，新版本内置升级 jsoup 到 1.23.1 及以上，这是唯一正规修复手段。
2. 可以联系 H3C 400，提交漏洞工单，确认该 CVE 对应 iMC 版本的修复计划。

⚠️禁止手动去 iMC 的 tomcat/lib 目录替换 jsoup‑*.jar，会导致 iMC 服务启动异常、组件报错、升级失败。

二、临时缓解措施（生产环境可用，降低风险）

1、网络层防护（优先做）

1. iMC 管理页面严格做访问控制，iMC WEB（8080/443）只允许管理网段访问，禁止公网直接访问 iMC；
2. 防火墙 / IPS，对 iMC 服务器的 web 端口，开启XSS 防护规则，拦截含控制字符的恶意 HTTP 请求；
3. 限制 iMC 账号权限：只分配最小权限，禁止普通用户拥有管理员权限。

2、iMC 服务端加固

iMC 的 Tomcat 增加CSP 内容安全策略，限制页面内联脚本执行，即便出现 XSS 也无法执行恶意脚本。

操作需要修改 iMC 的 web.xml，建议先在测试环境验证，生产环境变更前备份。

3、漏洞报告处理（等保 / 合规场景）

• 该漏洞属于第三方开源组件漏洞，iMC 产品本身业务逻辑没有漏洞；
• 可以在漏洞台账记录：等待厂商发布补丁，已做网络访问控制、IPS 防护作为临时缓解。

三、区分：漏扫的误报情况

部分漏扫工具仅仅扫描到 jar 包版本号，不校验 iMC 是否使用了存在风险的自定义 Safelist。

iMC 内部如果没有使用风险配置，实际攻击面很小。

四、操作建议顺序

1. 确认 iMC 版本，联系 H3C 400 确认该 CVE 修复的版本计划；
2. 收紧 iMC web 访问权限，防火墙只放行管理网段；
3. 开启 IPS/XSS 防护规则；
4. 等官方补丁发布后，在维护窗口升级 iMC；
5. 升级完成，重新扫描验证漏洞闭环。

补充：风险说明

1. 漏洞是中危 XSS，需要用户登录 iMC 的前提下才有可能触发；无权限的外网攻击者无法直接利用该漏洞；
2. 不建议手动替换 jar 包，iMC 是商业打包应用，自行修改依赖 jar 极易造成平台故障。