CVE:CVE-2014-3135
CNNVD:CNNVD-201404-613
vBulletin是美国Internet Brands和vBulletin Solutions公司共同开发的一款开源的商业Web论坛程序。
vBulletin 5.1.1 Alpha 9版本中存在跨站脚本漏洞，该漏洞源于privatemessage/new/页面没有充分过滤‘PATH_INFO’参数，privatemessage/view页面没有充分过滤private消息中的‘folderid’参数，/help页面没有充分过滤‘fragment indicator’参数，页面没有充分过滤‘view’参数。远程攻击者可利用该漏洞注入任意Web脚本或HTML。
solution:Upgrade vbulletin vbulletin to a higher version than 5.1.1:alpha9,and avoid the version 5.1.1:alpha9