CVE:CVE-2014-10001
CNNVD:CNNVD-201501-287
StivaSoft PHPJabbers Appointment Scheduler是保加利亚StivaSoft公司的一套RMCIS客户预约管理系统。该系统可用于管理客户、预约、资源、服务、定位等信息。
StivaSoft PHPJabbers Appointment Scheduler 2.0版本中存在跨站请求伪造漏洞，该漏洞源于pjAdminServices控制器没有充分过滤pjActionCreate操作中的‘i18n[1][name]’参数；pjAdminUsers控制器没有充分过滤pjActionCreate操作。远程攻击者可利用该漏洞实施跨站脚本攻击，或添加管理员账户。
solution:Upgrade phpjabbers appointment_scheduler to a higher version than 2.0,and avoid the version 2.0