Alfresco、Alfresco Enterpriseに複数のクロスサイトスクリプティングの脆弱性を確認
Alfresco Enterpriseに複数のクロスサイトスクリプティングの脆弱性が確認された。Alfresco Enterprise 4.1.6とそれ以前が影響を受ける。ユーザーがXHTMLファイルをアップロードする際の処理の問題により攻撃者が任意のJavaScriptコードを含むXHTMLファイルをアップロードしたり、HTMLパーサーのフィルタリングの処理の問題により、攻撃者が細工したHTMLによってHTMLパーサーをバイパスすることが可能になる。また、URLのtaskId GETパラメータにも脆弱性が含まれ、任意のスクリプトを実行される恐れがある。解決策として、同社はhotfix 4.1.6.13を公開しており、アップデートによりこの脆弱性は解消される。また、version 4.1.8とそれ以降へのアップデートでもこの脆弱性は解消される。
