リモート Web サーバーには、Woodstock コンポーネントを使って構築された Web アプリケーションが含まれています。これは、Java Server Faces および AJAX ベースの Web 用ユーザー インターフェイス コンポーネントです。Woodstock は Sun Glassfish Enterprise Server の一部であり、JBoss、Tomcat、WebLogic などの他の Java Web コンテナとも使用できます。

使用しているバージョンの Woodstock は、404 エラーページの生成時に、ユーザー入力 URI データを適切にサニタイズできません。影響を受けているアプリケーションに、UTF-7 でエンコードされた URI を送信することで、攻撃者はクロスサイトスクリプティング攻撃を開始することがあります。

この攻撃が機能するのは、被害者がブラウザを、エンコーディングを自動検出するように設定しており、ブラウザが UTF-7 を認識する場合のみであることに、注意してください。

検出

プロジェクト Woodstock 404 エラーページ UTF-7 のエンコードされた XSS

medium Nessus プラグイン ID 38733

変更ログが見つかりません

検出

プロジェクト Woodstock 404 エラー ページ UTF-7 のエンコードされた XSS

medium Nessus プラグイン ID 38733

変更ログが見つかりません

プロジェクト Woodstock 404 エラーページ UTF-7 のエンコードされた XSS