Межсайтовый скриптинг в продуктах IBM Metrica

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение.

1. Уязвимость существует из-за недостаточной обработки входных данных в параметре "elementid" в "ReportTree" и в параметре "jnlpname" в "Launch". Удаленный пользователь может с помощью специально сформированного запросы выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта. Пример:

http://server/<document root>/ReportTree?action=generatedreportresults&elementid="><SCRIPT>alert("Non persistant XSS");</SCRIPT><!--&date=0000000000000

2. Уязвимость существует из-за недостаточной обработки входных данных в параметре ":tasklabel" в "ReportRequest". Удаленный пользователь может с помощью специально сформированного запроса сохранить и выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта при просмотре злонамеренных данных. Пример:

http://server/<document_root>/ReportRequest?dateformat=dd%2FMM%2Fyyyy&reporttitle=
some_title&reportID=some_stuff&version=0&treesrc=&treetitle=&p_wstring=&p_dataperiod=
none%3A%23%3Araw&startdate=01%2F01%2F2008&reporttype=offline&%3Atasklabel=
<SCRIPT>alert(Persistant XSS!);</SCRIPT>&none_agg_specified=false&windowtype=main

URL производителя: www.ibm.com

Решение: Способов устранения уязвимости не существует в настоящее время.