Apache 1.3.0 至 1.3.11 跨站脚本漏洞

摘要

Apache 1.3.0 至 1.3.11 存在跨站脚本漏洞，远程攻击者可通过以下方式以其他网站访问者的身份执行脚本：(1) printenv CGI（printenv.pl），它未对输出进行编码；(2) 由 ap_send_error_response 函数生成的页面（例如默认 404 页面），此类页面未添加明确的字符集；或 (3) 由某些 Apache 模块或核心代码生成的各种消息。注意：对于能够将 text/plain 内容类型渲染为 HTML 的 Web 浏览器（如 Internet Explorer），printenv 问题可能仍然存在，但 CVE 认为这是这些浏览器而非 Apache 的设计局限。于 20070724 披露的 printenv.pl/acuparam 向量就是此类变体之一。