sync oxygen_publishing_engine 在web页面生成时对输入的转义处理不恰当（跨站脚本）

CVE编号

CVE-2021-46827

利用情况

暂无

补丁情况

N/A

披露时间

2022-07-13

漏洞描述

An issue was discovered in Oxygen XML WebHelp before 22.1 build 2021082006 and 23.x before 23.1 build 2021090310. An XSS vulnerability in search terms proposals (in online documentation generated using Oxygen XML WebHelp) allows attackers to execute JavaScript by convincing a user to type specific text in the WebHelp output search field.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://www.oxygenxml.com/security/advisory/SYNC-2021-072301.html

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	sync	oxygen_publishing_engine	*		Up to (excluding) 22.1
	运行在以下环境
	应用	sync	oxygen_publishing_engine	22.1	-
	运行在以下环境
	应用	sync	oxygen_publishing_engine	23.1	-
	运行在以下环境
	应用	sync	oxygen_xml_author	*		Up to (excluding) 22.1
	运行在以下环境
	应用	sync	oxygen_xml_author	22.1	-
	运行在以下环境
	应用	sync	oxygen_xml_author	23.1	-
	运行在以下环境
	应用	sync	oxygen_xml_developer	*		Up to (excluding) 22.1
	运行在以下环境
	应用	sync	oxygen_xml_developer	22.1	-
	运行在以下环境
	应用	sync	oxygen_xml_developer	23.1	-
	运行在以下环境
	应用	sync	oxygen_xml_editor	*		Up to (excluding) 22.1
	运行在以下环境
	应用	sync	oxygen_xml_editor	22.1	-
	运行在以下环境
	应用	sync	oxygen_xml_editor	23.1	-
	运行在以下环境
	应用	sync	oxygen_xml_webhelp	*		Up to (excluding) 22.1
	运行在以下环境
	应用	sync	oxygen_xml_webhelp	22.1	-
	运行在以下环境
	应用	sync	oxygen_xml_webhelp	23.1	-

CVSS3评分 6.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 已更改
• 用户交互 需要
• 可用性 无
• 保密性 低
• 完整性 低

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）

Exp相关链接

- avd.aliyun.com