CVE:CVE-2002-0938
CNNVD:CNNVD-200210-112
Cisco Secure ACS是一款由CISCO分发和维护的访问控制和计帐系统。
Cisco Secure ACS WEB服务程序对通过用户提交给"action"的参数缺少正确的过滤，远程攻击者可以利用此漏洞进行跨站脚本执行攻击。
Cisco Secure ACS包含WEB组件，其中setup.exe程序对用户提交给"action"参数的数据缺少正确输入验证，攻击者可以提交包含恶意脚本代码的数据给"action"参数，当用户浏览这样的链接时，包含在链接中的恶意代码就会在用户浏览器上执行，导致用户基于Cookie认证的信息泄露。
此漏洞很明显需要认证用户才能利用，漏洞存在于Microsoft Windows NT操作系统下的Cisco Secure ACS版本。
solution:Upgrade cisco secure_access_control_server to a higher version than 3.0,3.0.1,and avoid the version 3.0,3.0.1