Межсайтовый скриптинг в Aktivate.cgi

Aktivate уязвим к межсайтовому скриптингу. Возможно построить ссылку, содержащую произвольный код, который будет выполнен в контексте сайта, на котором выполняется Aktivate.
Уязвимость позволяет похитить законную сессию пользователя, перехватывая опознавательные данные на основе cookie.
Пример:
https://host/aktivate/cgi-bin/catgy.cgi?key=0&cartname=axa200135022551
089&desc=<script>alert(document.domain)</script>

Уязвимость найдена в Aktivate 1.03.