CVE-2005-1747 (CNNVD-200505-1155)

MEDIUM
中文标题:
BEA WebLogic Server和WebLogic Express多个远程漏洞
英文标题:
Multiple cross-site scripting (XSS) vulnerabilities in BEA WebLogic Server and Express 8.1 through S...
CVSS分数: 6.8
发布时间: 2005-05-24 04:00:00
漏洞类型: 跨站脚本
状态: PUBLISHED
数据质量分数: 0.30
数据版本: v3
漏洞描述
中文描述:

BEA WebLogic Server和Express 8.1至Service Pack 4和7.0至Service Pack 6版本存在多个跨站脚本攻击(XSS)漏洞，远程攻击者可以通过在登录页(LoginForm.jsp)内的(1) j_username或(2) j_password参数，(3)传给管理控制台内的错误页的参数，(4)当管理员有一个活动会话以获取cookie时的服务器控制台上的未知向量或者(5)服务器控制台上不需要活动会话但是也泄露用号码和密码的替代向量，注入任意Web脚本或HTML，并可能获取权限。

英文描述:

Multiple cross-site scripting (XSS) vulnerabilities in BEA WebLogic Server and Express 8.1 through Service Pack 4, and 7.0 through Service Pack 6, allow remote attackers to inject arbitrary web script or HTML, and possibly gain administrative privileges, via the (1) j_username or (2) j_password parameters in the login page (LoginForm.jsp), (3) parameters to the error page in the Administration Console, (4) unknown vectors in the Server Console while the administrator has an active session to obtain the ADMINCONSOLESESSION cookie, or (5) an alternate vector in the Server Console that does not require an active session but also leaks the username and password.

CWE类型:
（暂无数据）
标签:
（暂无数据）
受影响产品
厂商 产品 版本 版本范围 平台 CPE
bea weblogic_server 6.0 - - cpe:2.3:a:bea:weblogic_server:6.0:*:*:*:*:*:*:*
bea weblogic_server 6.1 - - cpe:2.3:a:bea:weblogic_server:6.1:*:*:*:*:*:*:*
bea weblogic_server 7.0 - - cpe:2.3:a:bea:weblogic_server:7.0:*:*:*:*:*:*:*
bea weblogic_server 7.0.0.1 - - cpe:2.3:a:bea:weblogic_server:7.0.0.1:*:*:*:*:*:*:*
bea weblogic_server 8.1 - - cpe:2.3:a:bea:weblogic_server:8.1:*:*:*:*:*:*:*
oracle weblogic_portal 8.0 - - cpe:2.3:a:oracle:weblogic_portal:8.0:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
无标题 x_refsource_MISC
cve.org
访问
20050524 ACROS Security: HTML Injection in BEA WebLogic Server Console (1) mailing-list
cve.org
访问
BEA05-80.00 vendor-advisory
cve.org
访问
15486 third-party-advisory
cve.org
访问
20050527 [AppSecInc Advisory BEA05-V0101] BEA WebLogic Administration Console login page cross-site scripting vulnerability mailing-list
cve.org
访问
1014049 vdb-entry
cve.org
访问
ADV-2005-0607 vdb-entry
cve.org
访问
20050524 ACROS Security: HTML Injection in BEA WebLogic Server Console (2) mailing-list
cve.org
访问
13717 vdb-entry
cve.org
访问
无标题 x_refsource_MISC
cve.org
访问
无标题 x_refsource_MISC
cve.org
访问
20050527 [AppSecInc Advisory BEA05-V0100] BEA WebLogic Administration Console error page cross-site scripting vulnerability mailing-list
cve.org
访问
无标题 x_refsource_MISC
cve.org
访问
CVSS评分详情
6.8
MEDIUM
CVSS向量: AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS版本: 2.0
机密性
PARTIAL
完整性
PARTIAL
可用性
PARTIAL
时间信息
发布时间:
2005-05-24 04:00:00
修改时间:
2024-08-07 21:59:24
创建时间:
2025-11-11 15:32:26
更新时间:
2025-11-11 15:48:57
利用信息
暂无可利用代码信息
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2005-1747 2025-11-11 15:17:34 2025-11-11 07:32:26
NVD nvd_CVE-2005-1747 2025-11-11 14:51:19 2025-11-11 07:41:12
CNNVD cnnvd_CNNVD-200505-1155 2025-11-11 15:08:47 2025-11-11 07:48:57
版本与语言
当前版本: v3
主要语言: EN
支持语言:
EN ZH
安全公告
暂无安全公告信息
变更历史
v3 CNNVD
2025-11-11 15:48:57
vulnerability_type: 未提取 → 跨站脚本; cnnvd_id: 未提取 → CNNVD-200505-1155; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 跨站脚本
  • cnnvd_id: 未提取 -> CNNVD-200505-1155
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2025-11-11 15:41:12
cvss_score: 未提取 → 6.8; cvss_vector: NOT_EXTRACTED → AV:N/AC:M/Au:N/C:P/I:P/A:P; cvss_version: NOT_EXTRACTED → 2.0; affected_products_count: 0 → 6; data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • cvss_score: 未提取 -> 6.8
  • cvss_vector: NOT_EXTRACTED -> AV:N/AC:M/Au:N/C:P/I:P/A:P
  • cvss_version: NOT_EXTRACTED -> 2.0
  • affected_products_count: 0 -> 6
  • data_sources: ['cve'] -> ['cve', 'nvd']