Межсайтовый скриптинг в osCommerce

Описание: Уязвимость обнаружена в osCommerce. Удаленный пользователь может выполнить XSS нападение.

Программное обеспечение не фильтрует данные, представленные пользователем в параметре 'osCsid'. Пример:

https://path/?osCsid="><iframe src=http://www.gulftech.org></iframe>

URL производителя: http://www.oscommerce.com

Решение:

To fix the issue, the $_sid parameter needs to be wrapped around 
tep_output_string() in the tep_href_link() function defined in 
includes/functions/html_output.php.

Before:

if (isset($_sid)) {
$link .= $separator . $_sid;
 

After:

if (isset($_sid)) {
$link .= $separator . tep_output_string($_sid);