阿里云漏洞库

漏洞描述

思科企业聊天和电子邮件的基于Web的管理界面中的多个漏洞可能允许未经身份验证的远程攻击者对受影响软件的基于Web的管理界面的用户进行跨站点脚本（XSS）攻击。这些漏洞是由于受影响软件的基于Web的管理界面对用户提供的输入的验证不充分。攻击者可以通过在聊天窗口中注入恶意代码或通过向界面用户发送精心设计的链接来利用这些漏洞。在这两种情况下，攻击者都必须说服用户单击精心制作的链接或打开包含攻击者代码的聊天窗口。成功利用可能允许攻击者在受影响的接口的上下文中执行任意脚本代码或访问敏感的基于浏览器的信息。版本11.6（1）受到影响。<br>

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190306-chatmail-xss

参考链接
http://www.securityfocus.com/bid/107314
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-s...

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	cisco	enterprise_chat_and_email	11.6(1)	-
	运行在以下环境
	系统	alibaba_cloud_linux_2.1903	nss	*		Up to (excluding) 3.53.1-3.1.al7
	运行在以下环境
	系统	amazon_2	nss	*		Up to (excluding) 4.25.0-2.amzn2
	运行在以下环境
	系统	amazon_AMI	nspr	*		Up to (excluding) 4.25.0-2.45.amzn1
	运行在以下环境
	系统	anolis_os_8	nss	*		Up to (excluding) 3.53.1-11.0.1
	运行在以下环境
	系统	centos_6	firefox	*		Up to (excluding) 68.4.1-1.el6.centos
	运行在以下环境
	系统	centos_7	nss	*		Up to (excluding) 3.53.1-7.el7_9
	运行在以下环境
	系统	kylinos_aarch64_V10SP1	firefox	*		Up to (excluding) 79.0-4.p08.ky10
	运行在以下环境
	系统	kylinos_aarch64_V10SP2	firefox	*		Up to (excluding) 79.0-4.p08.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP1	firefox	*		Up to (excluding) 79.0-4.p08.ky10
	运行在以下环境
	系统	kylinos_x86_64_V10SP2	firefox	*		Up to (excluding) 79.0-4.p08.ky10
	运行在以下环境
	系统	opensuse_Leap_15.1	MozillaFirefox	*		Up to (excluding) 68.4.1-lp151.2.24.1
	运行在以下环境
	系统	oracle_6	firefox	*		Up to (excluding) 68.4.1-1.0.1.el6_10
	运行在以下环境
	系统	oracle_7	nss	*		Up to (excluding) 4.25.0-2.el7_9
	运行在以下环境
	系统	oracle_8	nss	*		Up to (excluding) 3.53.1-11.el8_2
	运行在以下环境
	系统	redhat_7	nss	*		Up to (excluding) 3.53.1-3.el7_9
	运行在以下环境
	系统	redhat_8	nss	*		Up to (excluding) 4.25.0-2.el8_2
	运行在以下环境
	系统	rocky_linux_8	nspr	*		Up to (excluding) 4.25.0-2.el8_2
	运行在以下环境
	系统	suse_12_SP4	MozillaFirefox	*		Up to (excluding) 68.4.1-109.101.1
	运行在以下环境
	系统	suse_12_SP5	MozillaFirefox	*		Up to (excluding) 68.4.1-109.101.1

攻击路径

网络
攻击复杂度

低
权限要求

无
影响范围

已更改
用户交互

需要
可用性

无
保密性

低
完整性

低

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）

Cisco Enterprise Chat/Email 11.6(1) Web-based Management Interface 跨站点脚本漏洞

漏洞描述

解决建议

参考链接

受影响软件情况