OSSA-2012-004: Horizon 日志查看器中的 XSS 漏洞

日期:

2012年4月17日

CVE:

CVE-2012-2094

影响

• Horizon: 所有版本

描述

Matthias Weckbecker 报告了 Horizon 中的一个漏洞。他指出日志查看器刷新机制没有对从客户机控制台获取的数据进行转义。这意味着包含 Javascript 代码的 HTML 会被解释为代码，从而导致能够将代码注入到仪表板会话中。

补丁

• https://review.openstack.org/#/c/6621 (Essex)

• https://review.openstack.org/#/c/6618 (Folsom)

鸣谢

• Matthias Weckbecker (CVE-2012-2094)

参考

• https://launchpad.net/bugs/977944

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2094