一、 漏洞 CVE-2016-6798 基础信息
漏洞标题
N/A
来源：AIGC 神龙大模型
漏洞描述信息
在Apache Sling 1.0.12之前的XSS Protection API模块中，XSS.getValidXML()方法使用不安全的SAX解析器来验证输入字符串，这可能导致XXE攻击在任何脚本中使用该方法验证用户输入，可能导致攻击者读取文件系统中的敏感数据，进行跨站点请求伪造(SSRF)，在防火墙后面端口扫描或DDoS应用程序。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
N/A
来源：AIGC 神龙大模型
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
In the XSS Protection API module before 1.0.12 in Apache Sling, the method XSS.getValidXML() uses an insecure SAX parser to validate the input string, which allows for XXE attacks in all scripts which use this method to validate user input, potentially allowing an attacker to read sensitive data on the filesystem, perform same-site-request-forgery (SSRF), port-scanning behind the firewall or DoS the application.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
Apache Sling XSS Protection API模块安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Apache Sling是美国阿帕奇（Apache）软件基金会的一套用于Java平台上的开源Web框架。该框架可在JCR内容库（Java Content Repository）上创建面向内容的应用。XSS Protection API module是其中的一个XSS攻击保护模块。 Apache Sling中的XSS Protection API模块1.0.12之前的版本存在安全漏洞。攻击者可利用该漏洞实施跨站脚本攻击，可能获取文件系统上的敏感信息，扫描防火墙之后的端口或造成拒绝服务。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
授权问题
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2016-6798 的公开POC
# POC 描述 源链接 神龙链接
1 None https://github.com/tafamace/CVE-2016-6798 POC详情
三、漏洞 CVE-2016-6798 的情报信息