Public Knowledge Project Open Monograph Press 跨站脚本漏洞

CVE编号

CVE-2018-12588

利用情况

暂无

补丁情况

N/A

披露时间

2018-06-20

漏洞描述

Public Knowledge Project（PKP）Open Monograph Press（OMP）是一套开源的学术出版软件平台。该平台用于管理、编辑工作流程，通过内部和外部审阅、编辑等制作和发布学术出版物。 PKP OMP 1.2.0及之前版本和3.1.1-2之前的3.1.1-1版本中的templates/frontend/pages/searchResults.tpl文件存在跨站脚本漏洞。远程攻击者可借助‘catalog.noTitlesSearch’参数利用该漏洞注入任意web脚本或HTML。

解决建议

厂商已发布漏洞修复程序，请及时关注更新：
https://github.com/pkp/omp/commit/bfdcdec64865238163282c5940a6c7896c0977bf

参考链接
https://forum.pkp.sfu.ca/t/ojs-3-1-1-2-and-omp-3-1-1-3-released/45937
https://forum.pkp.sfu.ca/t/xss-vulnerability-alert/45938
https://github.com/pkp/omp/commit/bfdcdec64865238163282c5940a6c7896c0977bf
https://github.com/pkp/pkp-lib/issues/3805
https://metamorfosec.com/Files/Advisories/METS-2018-002-A_XSS_Vulnerability_i...

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	public_knowledge_project	open_monograph_press	*	From (including) 1.2.0	Up to (excluding) 3.1.1-3

CVSS3评分 6.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 低

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CWE-ID 漏洞类型 CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）