漏洞信息详情

IBM产品Web Content Management组件登录页面跨站脚本漏洞

• CNNVD编号：CNNVD-201002-288
• 危害等级： 中危
  
• CVE编号： CVE-2010-0714
• 漏洞类型： 跨站脚本
• 发布时间： 2010-02-26
• 威胁类型： 远程
• 更新时间： 2010-03-01
• 厂        商： ibm
• 漏洞来源： Oren Hafif※ ofer.m...

漏洞简介

IBM WebSphere Portal 由用于构建和管理安全的企业对企业（B2B）、企业对客户（B2C）和企业对雇员（B2E）门户网站的中间件、应用程序（称为 portlet）和开发工具组成。

IBM Lotus Web Content Management是一款强大的内容管理程序。

Web Content Management组件登录页面跨站脚本漏洞。Lotus Workplace Web Content Management允许用户方便的制作、发布和管理基于Web的内容。

Web Content Management组件的登录页面直接将从请求URL所获取的查询字符串嵌入到了HTML响应中用作success表单字段的值。在转义跟随有恶意脚本的\"\"＞\"字段就可能导致跨站脚本攻击。由于代码共享的关系WebSphere Portal、Lotus Quickr等产品也受这个漏洞的影响。

漏洞公告

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www-01.ibm.com/support/docview.wss?uid=swg21421469

参考网址

来源: www-01.ibm.com

链接:http://www-01.ibm.com/support/docview.wss?uid=swg21421469

来源: BID

名称: 38412

链接:http://www.securityfocus.com/bid/38412

来源: BUGTRAQ

名称: 20100225 Hacktics Advisory Feb10: XSS in IBM WebSphere Portal & Lotus WCM

链接:http://www.securityfocus.com/archive/1/archive/1/509744/100/0/threaded

来源: MISC

链接:http://www.hacktics.com/content/advisories/AdvIBM20100224.HTML

来源：NSFOCUS 名称：14542 链接：http://www.nsfocus.net/vulndb/14542

受影响实体

• Ibm Websphere_portal:6.0.0.0  
• Ibm Websphere_portal:5.1.0.3  
• Ibm Websphere_portal:5.1.0.2  
• Ibm Websphere_portal:5.1.0.0  
• Ibm Websphere_portal:5.1.0.5  

补丁

• 6.1.0.4-WP-IFPM15558
• 6.1.0-WP-Multi-FP004
• 6.1.0.3-WP-IFPM10931
• 6.1.0.2-WP-IFPM10931
• 6.1.0.1-WP-IFPM00891