CVE

Id
40446  
CVE No.
CVE-2009-3011  
Status
Candidate  
Description
Google Chrome 1.0.154.48 and earlier, 2.0.172.28, 2.0.172.37, and 3.0.193.2 Beta does not properly block data: URIs in Refresh headers in HTTP responses, which allows remote attackers to conduct cross-site scripting (XSS) attacks via vectors related to (1) injecting a Refresh header that contains JavaScript sequences in a data:text/html URI or (2) entering a data:text/html URI with JavaScript sequences when specifying the content of a Refresh header. NOTE: the JavaScript executes outside of the context of the HTTP site.  
Phase
Assigned (20090831)  
Votes
None (candidate not yet proposed)  
Comments
 

Actions

Related CVE References

Id CVE Id CVE No. Reference Actions
444403 40446 CVE-2009-3011 MISC:http://websecurity.com.ua/3315/  View
444404 40446 CVE-2009-3011 MISC:http://websecurity.com.ua/3386/  View
444405 40446 CVE-2009-3011 XF:googlechrome-data-xss(52998)  View

Related JVN

Id JVN No. Title Summary CVE No. CVE Id CVSS_v2 CVSS_v3 JVN URL Actions
45253 JVNDB-2009-006260 QtWeb におけるクロスサイトスクリプティング (XSS) 攻撃を実行される脆弱性 QtWeb は、javascript: および data: HTTP 応答の Refresh および Location ヘッダの URI を適切にブロックしない、および以下に関する処理に不備があるため、クロスサイトスクリプティング (XSS) 攻撃を実行される脆弱性が存在します。 CVE-2009-3015 40446 4.3 http://jvndb.jvn.jp/ja/contents/2009/JVNDB-2009-006260.html  View