修复跨站脚本漏洞 极限科技发布2012年首个安全补丁

极限科技发布2012年首个安全补丁，修复了HTML编辑器可能造成多个跨站脚本漏洞，增加js代码过滤选项、内部短信过滤js代码。用户可登录OA系统，通过系统管理-》系统安全设置-》选择是否禁止JS特效，即可禁止编辑器中输入JS脚本代码，对其进行过滤。

漏洞评级：中危

解决方案：建议正式用户、试用用户立即升级至20120426最新版本。修正合集下载页面：http://www.sohuu.com/download/sp2012.php

漏洞描述：

html编辑器，是所见即所得文本编辑器，支持设置字体、字号、颜色、排版等文字编辑效果，支持js代码输入。html编辑器是网络智能办公系统编辑页面特效的利器，支持js脚本，实现特殊页面效果，但也会造成JS代码漏洞。如果有人在源码中输入 这样的内容，就会弹出窗口干扰用户正常操作。OA系统如果不设置密码，不设置安全访问规则，允许互联网访问可能会造成远程攻击者利用这些漏洞远程执行网页恶意代码，发起网页挂马、仿冒、窃取cookies等攻击。

什么是html编辑器?

百度百科描述：富文本编辑器，Rich Text Editor, 简称 RTE, 是一种可内嵌于浏览器，所见即所得的文本编辑器。它提供类似于 Microsoft Word 的编辑功能，容易被不会编写 HTML 的用户并需要设置各种文本格式的用户所喜爱。它的应用也越来越广泛。最先只有 IE 浏览器支持，其它浏览器相继跟进，比如谷歌、火狐效果都非常不错，在功能的丰富性来说，还是 IE 强些。虽然没有一个统一的标准，但对于最基本的功能，各浏览器提供的 API 基本一致，从而使编写一个跨浏览器的富文本编辑器成为可能。方便用户编辑文章或信息。

极限OA网络智能办公系统简介：

Office Automation网络智能办公系统(简称：极限OA)，经过十一年的发展，历经20个版本，已成长为国产OA软件的领先品牌，拥有广泛的用户群。极限OA在系统安全设置方面提供了访问IP规则设置(只允许特定IP段访问)、禁止登录IP、登录密码错误次数限制等，极限OA也提供更高安全级别的解决方案类似中国银行网银动态密码方案，即使密码外泄，仍能保证用户身份无法冒用，已获得公安部认证等手段。目前极限OA已经有上万家的正式用户使用，终端用户数约100万以上。

【系统简介】

极限OA在功能上媲美售价数十万元的网络办公系统，在安装维护上更提供了采用独有技术开发的傻瓜型安装工具、配置工具和数据库管理工具，用户可在1分钟内自行安装完毕，无需专业人员即可自行维护;系统集成了包括内部电子邮件、短信息、公告通知、日程安排、工作日志、通讯录、快递管理、订餐管理、考勤管理、工作计划、网络硬盘、工作流、讨论区、投票、聊天室、文件柜、人事档案、工资管理、财务系统、人员考核、办公用品、会议管理、车辆管理、图书管理、手机短信、CRM、列车时刻查询、电话区号查询、邮政编码查询、法律法规查询、万年历、世界时间等数十个极具价值的功能模块。

【应用效果】

创造数字化办公环境，实现全球化远程办公和移动办公;建立企业内部信息门户，统一信息发布平台，消除信息混乱;加强组织行为管理，监控制度执行与工作绩效，工作任务实时督办，提高成员的执行力;工作流子系统，实现跨部门流程化协同工作，加强业务规范，提升工作效率;知识管理子系统，打破信息孤岛，实现知识、经验的随时积累、充分利用;?激活企业硬件投资，提高内部资源利用率，实现无纸化办公，降低办公与企业运营成本;客户关系子系统，全方位掌控客户资源，稳定客户关系，提升客户服务质量;通过全面的企业信息化解决方案，快速提高整体信息化水平，提升企业未来竞争力;规范企业信息管理，多级权限控制，确保企业信息安全;加强多层次沟通，实现全员参与，成为塑造企业文化的良好平台。

12下一页>