发布日期：2012-04-16
更新日期：2012-04-17

受影响系统：

Apache Group OfBiz 10.x

描述：

---

BUGTRAQ  ID: 53025
CVE ID: CVE-2012-1622

Apache Open For Business（Apache OFBiz）是开源的ERP系统。

Apache OFBiz在实现上存在安全漏洞，远程攻击者可以利用此漏洞执行跨站脚本攻击并控制有漏洞系统。

1）在返回给用户之前，没有正确过滤checkoutProcess.js 的 "getServerError()"函数输入，可被利用执行任意HTML和脚本代码；

2）作为参数数组传递的某些输入没有正确过滤即返回给用户，可被利用在用户浏览器会话中执行任意HTML和脚本代码。

3）没有正确过滤内容ID和映射密钥相关的某些输入，即返回给用户，可被利用执行任意HTML和脚本代码。

4）传递到 Webslinger 组件的某些输入没有正确过滤即返回给用户，可被利用在用户浏览器会话中执行任意HTML和脚本代码。

5）在处理带有嵌套脚本的字符串时，FlexibleStringExpander类中存在错误，可被利用执行任意代码。

<*来源：Jacopo Cappellato
  
  链接：http://secunia.com/advisories/48800/
        http://seclists.org/fulldisclosure/2012/Apr/171
*>

建议：

---

厂商补丁：

Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://httpd.apache.org/

浏览次数：3235
严重程度：0（网友投票）