CVE:CVE-2012-4437
CNNVD:CNNVD-201209-562
New Digital Group Smarty是New Digital Group公司的一款使用PHP语言编写的模板引擎。
Smarty中的SmartyException类中存在跨站脚本漏洞，该漏洞源于没有正确验证用户提供的数据。攻击者可利用该漏洞在受影响站点上下文中不知情用户浏览器中执行任意脚本代码，可窃取基于cookie的认证证书并发起其他攻击。Smarty 3.1.11版本中存在漏洞，早期版本也可能受到影响。
solution:Upgrade smarty smarty to a higher version than 1.0,1.0a,1.0b,1.1.0,1.2.0,1.2.1,1.2.2,1.3.0,1.3.1,1.3.2,1.4.0,1.4.0:b1,1.4.0:b2,1.4.1,1.4.2,1.4.3,1.4.4,1.4.5,1.4.6,1.5.0,1.5.1,1.5.2,2.0.0,2.0.1,2.1.0,2.1.1,2.2.0,2.3.0,2.3.1,2.4.0,2.4.1,2.4.2,2.5.0,2.5.0:rc1,2.5.0:rc2,2.6.0,2.6.0:rc1,2.6.0:rc2,2.6.0:rc3,2.6.1,2.6.2,2.6.3,2.6.4,2.6.5,2.6.6,2.6.7,2.6.9,2.6.10,2.6.11,2.6.12,2.6.13,2.6.14,2.6.15,2.6.16,2.6.17,2.6.18,2.6.20,2.6.22,2.6.24,2.6.25,2.6.26,3.0.0,3.0.0:beta4,3.0.0:beta5,3.0.0:beta6,3.0.0:beta7,3.0.0:beta8,3.0.0:rc1,3.0.0:rc2,3.0.0:rc3,3.0.0:rc4,3.0.1,3.0.2,3.0.3,3.0.4,3.0.5,3.0.6,3.0.7,3.1:rc1,3.1.0,3.1.1,3.1.2,3.1.3,3.1.4,3.1.5,3.1.6,3.1.7,3.1.8,3.1.9,3.1.10,3.1.11,and avoid the version 1.0,1.0a,1.0b,1.1.0,1.2.0,1.2.1,1.2.2,1.3.0,1.3.1,1.3.2,1.4.0,1.4.0:b1,1.4.0:b2,1.4.1,1.4.2,1.4.3,1.4.4,1.4.5,1.4.6,1.5.0,1.5.1,1.5.2,2.0.0,2.0.1,2.1.0,2.1.1,2.2.0,2.3.0,2.3.1,2.4.0,2.4.1,2.4.2,2.5.0,2.5.0:rc1,2.5.0:rc2,2.6.0,2.6.0:rc1,2.6.0:rc2,2.6.0:rc3,2.6.1,2.6.2,2.6.3,2.6.4,2.6.5,2.6.6,2.6.7,2.6.9,2.6.10,2.6.11,2.6.12,2.6.13,2.6.14,2.6.15,2.6.16,2.6.17,2.6.18,2.6.20,2.6.22,2.6.24,2.6.25,2.6.26,3.0.0,3.0.0:beta4,3.0.0:beta5,3.0.0:beta6,3.0.0:beta7,3.0.0:beta8,3.0.0:rc1,3.0.0:rc2,3.0.0:rc3,3.0.0:rc4,3.0.1,3.0.2,3.0.3,3.0.4,3.0.5,3.0.6,3.0.7,3.1:rc1,3.1.0,3.1.1,3.1.2,3.1.3,3.1.4,3.1.5,3.1.6,3.1.7,3.1.8,3.1.9,3.1.10,3.1.11