Vaadin “JsonPaintTarget.addAttribute（）”脚本插入漏洞

发布日期：2013-02-01
更新日期：2013-02-14受影响系统：
vaadin vaadin 6.x
vaadin vaadin
描述：
--------------------------------------------------------------------------------
Vaadin是Java应用开发框架，可用在 Apache 2 证书下。

Vaadin 6.8.8之前版本的com.vaadin.terminal.gwt.server.JsonPaintTarget.addAttribute（String, Map<？, ？>）方法没有正确转义"Map"参数密钥，可导致插入任意HTML和脚本代码，然后在这些恶意数据被查看后，在用户浏览器会话执行。

<*来源：vendor

链接：http://secunia.com/advisories/52063/
https://vaadin.com/forum/-/message_boards/view_message/2456529
http://dev.vaadin.com/ticket/10873
http://dev.vaadin.com/ticket/10873
*>建议：
--------------------------------------------------------------------------------
厂商补丁：

vaadin
------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

https://vaadin.com/download/release/6.8/6.8.8/release-notes.html#security-fixesWireshark CLNP解析器拒绝服务漏洞Snorby "in_xml（）"信息泄露漏洞相关资讯 Vaadin Vaadin安全漏洞

Vaadin 7.0 RC 发布，RIA 开发框架（01/17/2013 18:31:53）
Vaadin 7 Beta 发布，RIA 应用框架（09/19/2012 06:51:31）
RIA应用框架 Vaadin （06/11/2012 20:28:52）

Vaadin 7.0.0.beta5 发布，RIA 开（10/21/2012 07:57:19）
Vaadin 6.8 发布，RIA 富客户端框（06/11/2012 20:31:24）
Vaadin 6.7.10 发布，RIA 框架（06/09/2012 07:50:47）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规