关键漏洞信息 漏洞ID: Bug 963568 (CVE-2013-2101) CVE编号: CVE-2013-2101 产品: Katello 组件: Multiple XSS in various entities 优先级: 中 严重性: 中 状态: CLOSED ERRATA 漏洞描述 报告人Eric Helms在Katello中发现了多个跨站点脚本攻击（XSS）漏洞。 再现步骤 1. 登录 2. 导航到Changeset/Repository/System/Distributor/Filter 3. 创建一个实体，给它命名 4. 提交 实际结果 通知以可点击链接的形式显示成功消息。 用户可以导航到“通知”页面，查看实体成功创建后显示的可点击链接。 如果创建了Changeset，Changeset名称将显示在Changeset管理页面的右侧。 预期结果 名称应在其使用的每个位置完全转义。 问题分析 1. 某些实体由于后端模型验证阻止HTML , , 字符的使用，不存在此问题。 2. 用户输入在输出时未被转义，导致XSS漏洞。 修复措施 , , , , , , 等实体大部分已修复。 修复提交包括： - - 用户通知消息应转义HTML字符 - - 确保ORG名称包含HTML字符时被转义 - 的默认文本内容函数和快速替换显示通知中的字符 - 覆盖 的文本区域 函数，以不转义带 , 的文本