添加时间:
2005-08-11

系统编号:
WAVDB-00097
BugCVE: CAN-2001-1212
BUGTRAQ: 3714

影响版本:
Aktivate Shopping Cart 1.03

程序介绍:

Aktivate是一个运行Linux/UNIX平台的网上售货系统，使用MySQL作为后端支持，用Perl实现。

漏洞分析:

Aktivate存在跨站脚本执行漏洞，可以使攻击者通过窃取Cookie等手段获得敏感信息。
攻击者可以在运行了Aktivate的Web页面上放置包含了任意脚本代码的链接，用户如果点击了该链接，则脚本就会在用户Web浏览器环境下执行。攻击者可能借此收集到用户当前的Cookie，这些Cookie中可能包含有敏感信息。已经证实1.03版的软件是有此问题的，其它以下的低版本可能也有此问题。


解决方案:
临时解决方法：
如果您不能立刻安装补丁或者升级，建议您采取以下措施以降低威胁：
* 在IE中禁止活动脚本及ActiveX控件的执行。

厂商补丁：
Adrian Allen
------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：
http://www.allen-keul.com/aktivate/

信息来源:
<*来源：Tamer Sahin （ts@securityoffice.net）
链接：http://archives.neohapsis.com/archives/bugtraq/2001-12/0194.html
*>