CVE:CVE-2008-6045
CNNVD:CNNVD-200902-034
xt:Commerce是基于电子商务引擎的网络购物系统。
xt:Commerce的advanced_search_result.php文件中没有正确地过滤对keywords参数所提交的输入便返回给了用户，XTCsid参数可以被设置为任意的值，这样攻击者就可以在用户登录到目标服务器之前便固定会话ID，在用户登录后使用预定义的会话ID值假设他们的在线身份。
solution:Upgrade xt-commerce xt-commerce to a higher version than 3.0.4,and avoid the version (,3.0.4]