OSSA-2016-010: Horizon 客户端模板中的 XSS¶
- 日期:
2016年6月15日
- CVE:
CVE-2016-4428
影响¶
Horizon: <=8.0.1, >=9.0.0 <=9.0.1
描述¶
来自弗吉尼亚理工大学的 Beth Lancaster 和 Brandon Sawyers 报告了 Horizon 中的一个漏洞。通过在仪表板表单中注入 Angularjs 模板，例如镜像的描述，经过身份验证的用户可能在其他用户浏览受影响的页面时触发跨站脚本攻击漏洞。这可能导致潜在的资产盗窃，例如用户访问凭据。所有 Horizon 设置都受到影响。
补丁¶
https://review.openstack.org/329997 (Liberty)
https://review.openstack.org/329996 (Mitaka)
https://review.openstack.org/329998 (Newton)
鸣谢¶
Beth Lancaster 来自弗吉尼亚理工大学 (CVE-2016-4428)
Brandon Sawyers 来自弗吉尼亚理工大学 (CVE-2016-4428)
