Межсайтовый скриптинг в административной консоли BEA WebLogic

Описание:
Уязвимость позволяет злоумышленнику произвести XSS нападение и получить доступ к потенциально важной информации пользователя.

Уязвимость существует из-за некорректной обработки входных данных в параметре 'server' функции JndiFramesetAction. Удаленный пользователь может создать специально сформированный URL и выполнить произвольный HTML сценарий в браузере жертвы. Пример:

http://[target]:8001/console/actions/jndi/Jndi
FramesetAction?server='<script>alert(document.
cookie);</script>mydomain%3AName%3
Dmyserver%2CType%3DS

URL производителя: www.bea.com

Решение: Установите последнюю версию с сайта производителя.

Журнал изменений:
24.03.2009
Изменена секция "Решение"