Xoops私人信息系统脚本可插入漏洞发布时间：2002-01-30 更新时间：2002-01-30 严重程度：中 威胁程度：服务器信息泄露 错误类型：输入验证错误 利用方式：服务器模式 受影响系统 Xoops RC1详细描述 XOOPS可以提供成员私人信息系统，如MAIL，不过存在漏洞当显示私人信息对话框 的时候可以导致在用户系统上执行任意JAVA脚本代码。 来自私人信息系统的"Title"栏的变量没有检查输入，可以导致恶意用户在显示 私人信息对话的时候在目标用户系统上执行。 当编辑一信息的时候把JAVASCRIPT代码放入到Title字段。这样可以导致如窃取 COOKIE信息，或者写注册表等操作。 测试代码 见描述 解决方案 尚无 相关信息 Cabezon Aurélien (aurelien.cabezon@isecurelabs.com) 参考：http://archives.neohapsis.com/archives/bugtraq/2002-01/0347.html |
