发布日期：2017-08-14
更新日期：2017-08-15

受影响系统：

Apache Group Sling Servlets Post < 2.3.22

描述：

---

BUGTRAQ  ID: 100284
CVE(CAN) ID: CVE-2017-9802

Apache Sling是Java平台上的开源Web框架，在JCR内容库上创建面向内容的应用。

Apache Sling Servlets Post < 2.3.22版本，Sling.evalString()使用javascript 'eval'函数解析输入字符串，可导致跨站脚本攻击。

<*来源：Dmitriev V.
  *>

建议：

---

厂商补丁：

Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

https://issues.apache.org/jira/browse/SLING-7041
https://lists.apache.org/thread.html/2f4b8333e44c6e7e0b00933bd4204ce64829952f60dbb6814f2cdf91@%3Cdev.sling.apache.org%3E

浏览次数：3456
严重程度：0（网友投票）