Apache Tomcat主机管理器跨站脚本漏洞

2008-06-0500:00:00

Root

www.seebug.org

0.216 Low

EPSS

Percentile

96.0%

JSON

BUGTRAQ ID: 29502
CVE(CAN) ID: CVE-2008-1947

Apache Tomcat是一个流行的开放源码的JSP应用服务器程序。

Apache Tomcat的host-manager/html/add文件没有正确地过滤对name参数的输入便返回给了用户，这允许远程攻击者通过跨站脚本攻击在登录用户浏览器会话中执行任意HTML和脚本代码。

Apache Group Tomcat 6.0.0 - 6.0.16
Apache Group Tomcat 5.5.9 - 5.5.26
Apache Group

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

<a href=“http://jakarta.apache.org/tomcat/index.html” target=“_blank”>http://jakarta.apache.org/tomcat/index.html</a>


                                                &lt;form&nbsp;action=&quot;http://localhost:8080/host-manager/html/add&quot;&nbsp;method=&quot;get&quot;&gt;
~&nbsp;&nbsp;&lt;INPUT&nbsp;TYPE=&quot;hidden&quot;&nbsp;NAME='name'&nbsp;VALUE=&quot;&lt;script&gt;alert()&lt;/script&gt;&quot;&gt;<b