CVE-2019-10092：Apache HTTP Server "Proxy Error" 页面中的有限跨站脚本攻击

在 Apache HTTP Server 2.4.0-2.4.39 版本中，报告了一个影响 mod_proxy 错误页面的有限跨站脚本问题。攻击者可能导致错误页面上的链接格式错误，进而指向他们选择的页面。只有在服务器启用了代理功能但配置不当导致显示代理错误页面时，才可能利用此漏洞。

厂商披露：

厂商的披露及对此漏洞的修复可在此处找到：这里。

利用条件：

此漏洞需要：

• 能够访问 "Proxy Error" 页面的途径
• 用户交互

概念验证：

更多细节和利用过程可在此 PDF 中找到。

其他资源：

Sebastian Neef 在此 博客文章 中提出了利用 CVE-2019-10092 的替代方法。