ht://Dig Htsearch跨站脚本漏洞

2007-12-04T00:00:00
ID SSV:2526
Type seebug
Reporter Root
Modified 2007-12-04T00:00:00

Description

ht://Dig是一款用来webserver的索引和搜索文件的应用程序。 ht://Dig不正确过滤用户提交的URI数据,远程攻击者可以利用漏洞进行跨站脚本攻击,获得敏感信息。 问题是由于'sytnax.html'脚本对用户提交的WEB参数缺少过滤,提交恶意脚本代码作为参数数据,可导致获得目标用户敏感信息。 测试方法 http://foo.bar/cgi-bin/htsearch?config=&restrict=&exclude=&method=and&format=builtin-long&sort=<script>alert("foo")</script>&words=foo

ht://Dig Group ht://Dig 3.2 0b6

目前没有解决方案提供: <a href=http://www.htdig.org/ target=_blank>http://www.htdig.org/</a>