Mozilla Firefox 的两个漏洞

Firefox 被发现存在两个漏洞，恶意的人可以利用这些漏洞执行跨网脚本程式 (cross-site scripting) 和控制使用者的系统。

1) "IFRAME" JavaScript URLs 存在漏洞，它没有适当地防止浏览记录中的 URL 被另一方执行。利用这漏洞可以在任意的网站范围内，在使用者浏览器的会话期间执行任意的 HTML 和脚本程式。

2) 传送到 "InstallTrigger.install()" 的 "IconURL" 参数资料在使用前没有适当地验证。这漏洞可以透过一个特制的 JavaScript URL ，能够以更高权限去执行任意的 JavaScript 程式码。

影响

成功的攻击需要网站被设定为允许安装软件 （预设允许的网站是 "update.mozilla.org" 和 "addons.mozilla.org"）。
合并使用漏洞 1 和 2 ，能够执行任意的程式码
受影响的系统

Mozilla Firefox 1.x
解决方案

请于安装修补程式前浏览软件供应商之网页，以获得更详尽资料。

更新到 1.0.4 版本


http://www.mozilla.org.../firefox/