Bugzilla RSS阅读器 跨站脚本(XSS) 攻击

QQ空间 新浪微博 微信 QQ facebook twitter
漏洞ID 1194992 漏洞类型 跨站脚本
发布时间 2006-05-16 更新时间 2006-05-16
CVE编号 CVE-2006-2420 CNNVD-ID CNNVD-200605-306
漏洞平台 N/A CVSS评分 4.3
|漏洞来源
https://www.securityfocus.com/bid/83932
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-200605-306
|漏洞详情
Bugzilla2.20rc1到2.20和2.21.1在使用RSS1.0时,可以使远程攻击者借助带有HTML编码的">"等序列的,可由某些RSS阅读器自动解码的标题元素,进行跨站脚本(XSS)攻击。注意:此问题不在于Bugzilla自身,而是由RSS内的设计或文档不一致,或RSS阅读器中的执行漏洞所致。虽然这种问题一般不纳入CVE,但由于Bugzilla开发者已经作了处理,所以对此进行了认定。
|受影响的产品
Mozilla Bugzilla 2.21.1 Mozilla Bugzilla 2.21 Mozilla Bugzilla 2.20 rc2 Mozilla Bugzilla 2.20 rc1 Mozilla Bugzilla 2.20
|参考资料

来源:bugzilla.mozilla.org
链接:https://bugzilla.mozilla.org/show_bug.cgi?id=313441
来源:XF
名称:bugzilla-rss-title-xss(24820)
链接:http://xforce.iss.net/xforce/xfdb/24820
来源:www.bugzilla.org
链接:http://www.bugzilla.org/security/2.18.4
来源:SECUNIA
名称:18979
链接:http://secunia.com/advisories/18979
来源:BUGTRAQ
名称:20051001SecurityAdvisoryforBugzilla2.18.3,2.20rc2,and2.21
链接:http://marc.theaimsgroup.com/?l=bugtraq&m=112818466125484&w=2
来源:OSVDB
名称:23379
链接:http://www.osvdb.org/23379