« Volver al listado

CVE-2008-5555

Estado: ModificadaMedia (4.3)—

Microsoft Internet Explorer 8.0 Beta 2 confía en la cabecera HTTP XDomainRequestAllowed para autorizar el intercambio de datos entre dominios, o que permite a atacantes remotos evitar el mecanismo de protección del producto XSS Filter y dirigir ataques XSS (ejecución de secuencias de comandos en sitios cruzados) y de dominios cruzados, mediante la inyección de esta cabecera después de una secuencia CRLF, relacionado con "XDomainRequest Allowed Injection (XAI)." NOTA: El fabricante mantiene que el filtro XSS de manera intencionada no intenta "abordar todas las hipótesis de ataque XSS".

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Tecnologías afectadas (1)

Microsoft — Internet Explorer

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2008-5555",
  "cveTags": [],
  "metrics": {
    "cvssMetricV2": [
      {
        "type": "Primary",
        "source": "nvd@nist.gov",
        "cvssData": {
          "version": "2.0",
          "baseScore": 4.3,
          "accessVector": "NETWORK",
          "vectorString": "AV:N/AC:M/Au:N/C:N/I:P/A:N",
          "authentication": "NONE",
          "integrityImpact": "PARTIAL",
          "accessComplexity": "MEDIUM",
          "availabilityImpact": "NONE",
          "confidentialityImpact": "NONE"
        },
        "acInsufInfo": false,
        "impactScore": 2.9,
        "baseSeverity": "MEDIUM",
        "obtainAllPrivilege": false,
        "exploitabilityScore": 8.6,
        "obtainUserPrivilege": false,
        "obtainOtherPrivilege": false,
        "userInteractionRequired": true
      }
    ]
  },
  "affected": [
    {
      "source": "cve@mitre.org",
      "affectedData": [
        {
          "vendor": "n/a",
          "product": "n/a",
          "versions": [
            {
              "status": "affected",
              "version": "n/a"
            }
          ]
        }
      ]
    }
  ],
  "published": "2008-12-12T18:30:03.343",
  "references": [
    {
      "url": "http://www.securityfocus.com/archive/1/499124/100/0/threaded",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47277",
      "source": "cve@mitre.org"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47444",
      "source": "cve@mitre.org"
    },
    {
      "url": "http://www.securityfocus.com/archive/1/499124/100/0/threaded",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47277",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    },
    {
      "url": "https://exchange.xforce.ibmcloud.com/vulnerabilities/47444",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Modified",
  "weaknesses": [
    {
      "type": "Primary",
      "source": "nvd@nist.gov",
      "description": [
        {
          "lang": "en",
          "value": "CWE-79"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Microsoft Internet Explorer 8.0 Beta 2 relies on the XDomainRequestAllowed HTTP header to authorize data exchange between domains, which allows remote attackers to bypass the product's XSS Filter protection mechanism, and conduct XSS and cross-domain attacks, by injecting this header after a CRLF sequence, related to \"XDomainRequest Allowed Injection (XAI).\" NOTE: the vendor has reportedly stated that the XSS Filter intentionally does not attempt to \"address every conceivable XSS attack scenario.\""
    },
    {
      "lang": "es",
      "value": "Microsoft Internet Explorer 8.0 Beta 2 confía en la cabecera HTTP XDomainRequestAllowed para autorizar el intercambio de datos entre dominios, o que permite a atacantes remotos evitar el mecanismo de protección del producto XSS Filter y dirigir ataques XSS (ejecución de secuencias de comandos en sitios cruzados) y de dominios cruzados, mediante la inyección de esta cabecera después de una secuencia CRLF, relacionado con \"XDomainRequest Allowed Injection (XAI).\" NOTA: El fabricante mantiene que el filtro XSS de manera intencionada no intenta \"abordar todas las hipótesis de ataque XSS\"."
    }
  ],
  "lastModified": "2026-06-16T23:00:32.740",
  "configurations": [
    {
      "nodes": [
        {
          "negate": false,
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:microsoft:internet_explorer:8:beta2:*:*:*:*:*:*",
              "vulnerable": true,
              "matchCriteriaId": "C4AC575C-3505-460F-8BB5-3ADA1F149E8D"
            }
          ],
          "operator": "OR"
        }
      ]
    }
  ],
  "sourceIdentifier": "cve@mitre.org"
}