漏洞起因
输入验证错误
危险等级
低
影响系统
Peter Andrews Sage 1.3.10
不受影响系统
危害
远程攻击者可以利用漏洞获得敏感信息或劫持用户会话。
攻击所需条件
攻击者必须构建恶意FEED，诱使用户处理。
漏洞信息
Sage是Firefox所使用的轻型RSS和Atom源汇集器扩展。
Sage不正确处理输入信息，远程攻击者可以构建特制FEED，注入任意WEB脚本或HTML，可在目标用户浏览器上执行。
测试方法
临时解决方案
在Sage中取消选中"Read feed into contents area"。
厂商解决方案
用户可联系供应商获得最新版本的程序：
https://addons.mozilla.org/en-US/firefox/addon/77
漏洞提供者
Yosuke HASEGAWA of NetAgent Co.,Ltd
0 条评论。