EMC Documentum Webtop/TaskSpace/Capital Projects 6.8 跨站脚本攻击

CVE编号

CVE-2016-8213

利用情况

暂无

补丁情况

N/A

披露时间

2017-01-23

漏洞描述

EMC Documentum WebTop等都是美国易安信（EMC）公司的产品。EMC Documentum WebTop是一套允许用户在标准浏览器应用中访问Documentum存储库和内容管理服务的产品。Documentum Administrator是一套基于Web用来执行Documentum系统管理任务的开发工具。
多款EMC产品存在HTML注入漏洞。由于程序未能充分验证用户输入。攻击者可利用特制的HTML或JavaScript代码在受影响的网站中运行，窃取基于cookie的认证证书，控制网站呈现给用户的内容。

解决建议

用户可联系供应商获得补丁信息：
https://www.emc.com/zh-cn/index.htm

参考链接
http://www.securityfocus.com/archive/1/540019/30/0/threaded
http://www.securityfocus.com/bid/95625
http://www.securitytracker.com/id/1037626

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	emc	documentum_administrator	7.0	-
	运行在以下环境
	应用	emc	documentum_administrator	7.1	-
	运行在以下环境
	应用	emc	documentum_administrator	7.2	-
	运行在以下环境
	应用	emc	documentum_capital_projects	1.10	-
	运行在以下环境
	应用	emc	documentum_capital_projects	1.9	-
	运行在以下环境
	应用	emc	documentum_taskspace	6.7	-
	运行在以下环境
	应用	emc	documentum_webtop	6.8	-
	运行在以下环境
	应用	emc	documentum_webtop	6.8.1	-

CVSS3评分 6.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 低

CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CWE-ID 漏洞类型 CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）