CVE-2004-2411

总结

VP-ASP Shopping Cart 4.0 至 5.0 版本中 shop$db.asp 的 CleanseMessage 函数未能充分清理输入，导致远程攻击者能够实施不使用 <script> 标签的跨站脚本（XSS）攻击，如通过 IMG 标签中的 javascript 所示：(1) shopdisplayproducts.asp 中的 cat 参数，或 (2) shoperror.asp 中的 msg 参数，以及其他可能的攻击向量。

• Virtual Programming VP-ASP Shoperror Script 4/5 - Cross-Site Scripting漏洞利用

  Thomas Ryan · asp · 2004年6月14日