Apache OFBiz不明细节远程代码执行漏洞
发布日期：2012-04-16
更新日期：2012-04-17
受影响系统：
Apache Group OfBiz 10.x
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 53025
CVE ID: CVE-2012-1622
Apache Open For Business（Apache OFBiz）是开源的ERP系统。
Apache OFBiz在实现上存在安全漏洞，远程攻击者可以利用此漏洞执行跨站脚本攻击并控制有漏洞系统。
1）在返回给用户之前，没有正确过滤checkoutProcess.js 的 "getServerError()"函数输入，可被利用执行任意HTML和脚本代码；
2）作为参数数组传递的某些输入没有正确过滤即返回给用户，可被利用在用户浏览器会话中执行任意HTML和脚本代码。
3）没有正确过滤内容ID和映射密钥相关的某些输入，即返回给用户，可被利用执行任意HTML和脚本代码。
4）传递到 Webslinger 组件的某些输入没有正确过滤即返回给用户，可被利用在用户浏览器会话中执行任意HTML和脚本代码。
5）在处理带有嵌套脚本的字符串时，FlexibleStringExpander类中存在错误，可被利用执行任意代码。
<*来源：Jacopo Cappellato
链接：http://secunia.com/advisories/48800/
http://seclists.org/fulldisclosure/2012/Apr/171
*>
建议：
--------------------------------------------------------------------------------
厂商补丁：
Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：