发布日期：2008-07-28
更新日期：2008-07-29

受影响系统：

Owl Owl Intranet Engine <= 0.95

描述：

---

BUGTRAQ  ID: 30410
CVE(CAN) ID: CVE-2008-3100

Owl Intranet Engine是一种用于多用户维护知识库的基于Web软件。

Owl Intranet Engine没有正确地验证提交给register.php文件输入参数，允许远程攻击者通过提交恶意请求执行跨站脚本攻击。

<*来源：Fabian Fingerle （fabian@datensalat.eu）
  
  链接：http://marc.info/?l=bugtraq&m=121728083004306&w=2
        http://secunia.com/advisories/31264/
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://localhost/Owl/register.php?myaction=getpasswd&username="><script>alert(1);</script>

建议：

---

厂商补丁：

Owl
---
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://owl.cvs.sourceforge.net/*checkout*/owl/owl-0.90/lib/owl.lib.php

浏览次数：3525
严重程度：0（网友投票）