« Volver al listado

CVE-2008-5554

Estado: ModificadaMedia (4.3)—

El filtro XSS (ejecución de secuencias de comandos en sitios cruzados) en Microsoft Internet Explorer 8.0 Beta 2 no gestiona de manera apropiada algunas cabeceras HTTP que aparecen después de una secuencia CRLF en una URI, lo que permite a atacantes remotos saltar el mecanismo de protección XSS y generar ataques XSS o de redirección, como se ha demostrado por las cabeceras HTTP (1) Location y (2) Set-Cookie. NOTA: El fabricante mantiene que el filtro XSS de manera intencionada no intenta "abordar todas las hipótesis de ataque XSS".

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Tecnologías afectadas (1)

Microsoft — Internet Explorer

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2008-5554",
  "cveTags": [],
  "metrics": {
    "cvssMetricV2": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "version": "2.0",
          "baseScore": 4.3,
          "accessVector": "NETWORK",
          "vectorString": "AV:N/AC:M/Au:N/C:N/I:P/A:N",
          "authentication": "NONE",
          "integrityImpact": "PARTIAL",
          "accessComplexity": "MEDIUM",
          "availabilityImpact": "NONE",
          "confidentialityImpact": "NONE"
        },
        "acInsufInfo": false,
        "impactScore": 2.9,
        "baseSeverity": "MEDIUM",
        "obtainAllPrivilege": false,
        "exploitabilityScore": 8.6,
        "obtainUserPrivilege": false,
        "obtainOtherPrivilege": false,
        "userInteractionRequired": true
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "vendor": "n/a",
          "product": "n/a",
          "versions": [
            {
              "status": "affected",
              "version": "n/a"
            }
          ]
        }
      ]
    }
  ],
  "published": "2008-12-12T18:30:03.327",
  "references": [
    {
      "url": "http://www.securityfocus.com/archive/1/499124/100/0/threaded",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47277",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47443",
      "source": "cve@mitre.org"
    },
    {
      "url": "http://www.securityfocus.com/archive/1/499124/100/0/threaded",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47277",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47443",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Modified",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "nvd@nist.gov",
      "description": [
        {
          "lang": "en",
          "value": "CWE-79"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "The XSS Filter in Microsoft Internet Explorer 8.0 Beta 2 does not properly handle some HTTP headers that appear after a CRLF sequence in a URI, which allows remote attackers to bypass the XSS protection mechanism and conduct XSS or redirection attacks, as demonstrated by the (1) Location and (2) Set-Cookie HTTP headers.  NOTE: the vendor has reportedly stated that the XSS Filter intentionally does not attempt to \"address every conceivable XSS attack scenario.\""
    },
    {
      "lang": "es",
      "value": "El filtro XSS (ejecución de secuencias de comandos en sitios cruzados) en Microsoft Internet Explorer 8.0 Beta 2 no gestiona de manera apropiada algunas cabeceras HTTP que aparecen después de una secuencia CRLF en una URI, lo que permite a atacantes remotos saltar el mecanismo de protección XSS y generar ataques XSS o de redirección, como se ha demostrado por las cabeceras HTTP (1) Location y (2) Set-Cookie. NOTA: El fabricante mantiene que el filtro XSS de manera intencionada no intenta \"abordar todas las hipótesis de ataque XSS\"."
    }
  ],
  "lastModified": "2026-06-16T23:00:32.620",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:microsoft:internet_explorer:8:beta2:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "C4AC575C-3505-460F-8BB5-3ADA1F149E8D"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "cve@mitre.org"
}