跳到主要内容

中危

Microsoft.XMLDOM ActiveX控件信息泄露漏洞

2014-02-26 11:00:00 公开 ，2025-10-22 01:08:20 更新

  • 关键漏洞
  • CISA KEV
  • 远程
  • 公开PoC
  • CWE Top 25 (2024)
  • 无需认证
CWEs：
CWE-200 （Exposure of Sensitive Information to an Unauthorized Actor） 、 CWE-209 （Generation of Error Message Containing Sensitive Information）
SSVC：
可利用状态：已被积极利用攻击自动化：是技术影响评估：部分 2025-02-11 04:10:53

风险信息

CVSS v2 向量
AV:N/AC:M/Au:N/C:P/I:N/A:N
CVSS v2 风险值
4.3
CVSS v3.1 向量
AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L
CVSS v3.1 风险值
6.5

详细信息

漏洞类型
信息泄露
漏洞描述
Microsoft.XMLDOM ActiveX是美国微软（Microsoft）公司的一个用于访问和操作XML文档的编程接口规范，它能够获取、更改、添加或删除XML元素。Microsoft Windows 8.1及之前版本的Microsoft.XMLDOM ActiveX控件存在安全漏洞。远程攻击者可通过查看错误代码利用该漏洞确定本地路径名、UNC分享路径名、内部主机名、局域网IP地址的存在。
修复建议
目前厂商还没有提供此漏洞的相关补丁或者升级程序，建议使用此软件的用户随时关注厂商的主页以获取最新版本： http://www.microsoft.com/zh-cn/default.aspx

参考链接