Agora.CGI跨站脚本执行(CSS/XSS)漏洞

2011-2-16 10:04:22 来源:网络转载 浏览:173
Agora.CGI跨站脚本执行(CSS/XSS)漏洞
影响版本:
Agora.cgi

程序介绍:

Agora.cgi是一个免费,开放源码的网上售货系统。

漏洞分析:

Agora.cgi存在跨站脚本执行漏洞,可以使攻击者通过窃取Cookie等手段获得敏感信息。
攻击者可以在运行了Agora.cgi的Web页面上放置包含了任意脚本代码的链接,用户如果点击了该链接,则脚本就会在用户Web浏览器环境下执行。攻击者可能借此收集到用户当前的Cookie,这些Cookie中可能包含有敏感信息。已经证实3.3e版的软件是有此问题的,其它以下的低版本可能也有此问题。


漏洞利用:

用如下的URL在HTML页面上放置跨站执行的脚本:
http://www.agoracgi.com/store/agora.cgi?cart_id=>alert(document.cookie)&xm=on&product=HTML 
当用户点击页面上的相关链接,则“alert(document.cookie)”代码就会被执行,结果是会弹出一个对话框显示当前cookie的内容。



解决方案:
如果您不能立刻安装补丁或者升级,建议您采取以下措施以降低威胁:
* 在IE中禁止活动脚本及ActiveX控件的执行。

厂商补丁:
Steve Kneizys
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
http://www.agoracgi.com
(0)
(0)