CVE-2008-2751

概要

Sun Java System Application Server 9.1_01 の Glassfish webadmin インターフェイスには複数のクロスサイトスクリプティング (XSS) の脆弱性が存在し、リモートの攻撃者は(1) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:jndiProp:JndiNew、(2) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:resTypeProp:resType、(3) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:factoryClassProp:factoryClass、または(4) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:descProp:desc パラメータを(a) resourceNode/customResourceNew.jsf に、(5) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:jndiProp:JndiNew、(6) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:resTypeProp:resType、(7) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:factoryClassProp:factoryClass、(8) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:jndiLookupProp:jndiLookup、または(9) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:descProp:desc パラメータを(b) resourceNode/externalResourceNew.jsf に、(10) propertyForm:propertySheet:propertSectionTextField:jndiProp:Jndi、(11) propertyForm:propertySheet:propertSectionTextField:nameProp:name、または(12) propertyForm:propertySheet:propertSectionTextField:descProp:desc パラメータを(c) resourceNode/jmsDestinationNew.jsf に、(13) propertyForm:propertySheet:generalPropertySheet:jndiProp:Jndi または(14) propertyForm:propertySheet:generalPropertySheet:descProp:cd パラメータを(d) resourceNode/jmsConnectionNew.jsf に、(15) propertyForm:propertySheet:propertSectionTextField:jndiProp:jnditext または(16) propertyForm:propertySheet:propertSectionTextField:descProp:desc パラメータを(e) resourceNode/jdbcResourceNew.jsf に、(17) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:nameProp:name、(18) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:classNameProp:classname、または(19) propertyForm:propertyContentPage:propertySheet:propertSectionTextField:loadOrderProp:loadOrder パラメータを(f) applications/lifecycleModulesNew.jsf に、または(20) propertyForm:propertyContentPage:propertySheet:generalPropertySheet:jndiProp:name、(21) propertyForm:propertyContentPage:propertySheet:generalPropertySheet:resTypeProp:resType、または(22) propertyForm:propertyContentPage:propertySheet:generalPropertySheet:dbProp:db パラメータを(g) resourceNode/jdbcConnectionPoolNew1.jsf に渡すことで、任意の Web スクリプトまたは HTML を注入できる可能性があります。