リモートの Web サーバーは、Struts フレームワークのデモアプリケーションである、struts-cookbook をホストしています。「message」パラメーターによって「processSimple.do」ページに渡される入力が、動的 HTML を生成するために使用される前に、適切にサニタイズされていません。

攻撃者は、この問題を利用して、ユーザーを騙して、特殊に細工されたリンクをクリックさせることにより、影響を受けるサイトのセキュリティコンテキスト内で実行されるように、ユーザーのブラウザに任意の HTML やスクリプトコードを注入できます。

検出

Apache Struts struts-cookbook processSimple.do message のパラメーターの XSS

medium Nessus プラグイン ID 60093

変更ログが見つかりません