Jetty CookieDump.javaサンプルアプリケーションの永続的なXSS

medium Nessus プラグイン ID 42797

Language:

概要

リモートWebサーバーは、クロスサイトスクリプティング攻撃を受けやすいアプリケーションをホストしています。

説明

インストールされているバージョンのMort Bay Jettyには、サンプルWebアプリケーション「CookieDump.java」が含まれています。これにより、「Name」と「Value」のGETパラメーターへのユーザー入力を通じて、任意のcookieが「/cookie」に設定され、それらをサニタイズせずに使用して動的HTML出力が生成されます。

攻撃者はこの問題を利用して、この問題を利用して、影響を受けるサイトのセキュリティコンテキスト内で実行されるように、ユーザーのブラウザに任意のHTMLやスクリプトコードを注入できることがあります。