X2CRM 'model'参数跨站脚本漏洞

X2CRM 'model'参数跨站脚本漏洞

发布日期：2013-09-25
更新日期：2013-09-26

受影响系统：
x2engine X2CRM 3.4.1
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 62634
CVE(CAN) ID: CVE-2013-5693

X2CRM是开源的销售、营销自动化和服务应用。

X2CRM 3.4.1没有正确过滤传递到"/index.php/admin/editor" URL的"model" HTTP GET参数值，远程攻击者可诱使管理员打开特制的链接，然后利用此漏洞在受影响站点浏览器上下文中执行任意HTML和脚本代码。

<*来源：High-Tech Bridge Security Research Lab
 
  链接：http://www.exploit-db.com/exploits/28557/
*>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.example.com/index.php/admin/editor?model=%3C/script%3E%3Cscript%3Ealert%28document.cookie%29;%3C/s cript%3E

建议：
--------------------------------------------------------------------------------
厂商补丁：

x2engine
--------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://www.x2engine.com/

http://x2community.com/index.php?/topic/1005-x2crm-35-released/