Oracle XML DB跨站脚本漏洞

信息提供：

漏洞类别：

攻击类型：

发布日期：

更新日期：

受影响系统：

安全系统：

无

漏洞报告人：

漏洞描述：

Bugtraq ID: 15034

Oracle XML DB包含一个跨站脚本漏洞。该漏洞是由于对用户输入的信息进行适当处理失败而导致的。

攻击者可以在感染站点的未被怀疑的用户的浏览器内执行任意脚本代码。同时可以方便的窃取基于cookie的验证信息并发动其它类型的攻击。

该漏洞最初在Oracle紧急升级补丁April 2005, BID 13139中报道。更多信息请参看相关报道。

测试方法：

警告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

可通过下面链接提供的方法验证：
http://user:host@example.com:8080/oradb<script>alert('Hi')</script>

解决方法：

Oracle已经发布了紧急升级补丁 April 2005来修复该漏洞。更多的信息请参看下面连接：

• Critical Patch Update - July 2005 (Oracle)
  
• Cross-Site-Scripting Vulnerability in Oracle XMLDB (ak@red-database-security.com)