CVE-2019-10779

总结

所有 5.5.12 之前的 stroom:stroom-app 版本以及 6.0.0 分支中所有 6.0.25 之前的版本均受到跨站脚本（Cross-site Scripting）漏洞的影响。攻击者网站能够将 Stroom UI 加载到隐藏的 iframe 中。利用该 iframe，攻击者网站可以通过 XSS 漏洞向 Stroom UI 发出命令，从而以已登录用户的身份完全控制 Stroom UI。

• CVE-2019-10779PoC

  GCHQ Stroom 存在跨站脚本攻击漏洞，原因是能够在另一个站点上加载 Stroom 仪表板，并且对窗口事件来源的保护不足。