CVE-2018-0499 补充修复-xapian-core-AtomGit

已关闭

CVE-2018-0499 补充修复 #7

Funda Wang创建于 8月15日关闭于 8月24日

Funda Wang

8月15日创建

漏洞概述

CVE-2018-0499：Xapian::MSet::snippet() 方法对 HTML 转义不完整，可能导致跨站脚本（XSS）攻击。

原始影响版本：xapian-core 1.4.5 及更早版本（该特性自开发版 1.3.5 引入；1.2.x 无此方法，不受影响）
原始修复版本：xapian-core 1.4.6
官方公告：https://trac.xapian.org/wiki/SecurityFixes/2018-07-02

2026-08-13 更新说明（新发现的遗漏场景）

原始修复（1.4.6）遗漏了以下边界场景：

当 hi_start 和 hi_end 均为空字符串，且 text.size() <= length 时，摘要文本仍缺少 HTML 转义。

即：调用方未提供高亮起始/结束标记，且文本长度不超过摘要上限时，文本会原样输出而不做转义，仍存在 XSS 风险。利用前提与原始漏洞一致——攻击者需能够向系统提供内容（或系统内存在可利用的合适内容）。

修复情况

版本	状态
2.1.0（2026-08-13 发布）	✅ 已修复
1.4.32（上一稳定分支）	✅ 已修复
2.0.0	提供官方补丁，可自行合入
1.4.16 ~ 1.4.31	提供官方补丁，可自行合入
1.4.6 ~ 1.4.15	提供官方补丁，可自行合入
1.4.5 及更早	提供官方补丁（含 2018 年原始修复）

官方补丁下载：

邮件列表公告：https://lists.xapian.org/pipermail/xapian-discuss/2026-August/010139.html

官方建议

空高亮字符串属于不常见用法，官方暂未发现真实世界的此类调用案例。但由于修复很小且风险低，建议应用补丁，或审计代码确认未以这种方式调用 MSet::snippet()。

影响性分析说明

受影响版本排查：openEuler 各分支中打包的 xapian-core 版本（1.4.x / 2.0.0）均存在该遗漏场景；升级至 2.1.0（含修复）或应用对应官方补丁后可解决。
是否涉及 ABI 变化：否。修复仅涉及 snippet() 内部实现逻辑，无 API/ABI 变更。
原因说明：原始 CVE-2018-0499 补丁未覆盖 hi_start/hi_end 均为空且文本长度不超过摘要上限的路径，本次为补全该边界场景。

二、缺陷分析结构反馈
影响性分析说明：

缺陷严重等级:(Critical/High/Moderate/Low)

缺陷根因说明:

受影响版本排查(受影响/不受影响):
openEuler-20.03-LTS-SP4
openEuler-22.03-LTS-SP3
openEuler-22.03-LTS-SP4
openEuler-24.03-LTS
openEuler-24.03-LTS-SP1
openEuler-24.03-LTS-SP2

修复是否涉及abi变化(是/否):
openEuler-20.03-LTS-SP4
openEuler-22.03-LTS-SP3
openEuler-22.03-LTS-SP4
openEuler-24.03-LTS
openEuler-24.03-LTS-SP1
openEuler-24.03-LTS-SP2

openeuler-ci-bot成员

8月15日添加了label：sig/Others

openeuler-ci-bot成员

8月15日评论：

Welcome To openEuler Community

Hey @fundawang , thanks for your contribution to the community.

Bot Usage Manual

I'm the Bot here serving you. You can find the instructions on how to interact with me at Here . That means you can comment below every pull request or issue to trigger Bot Commands.

Contact Guide

If you have any questions, please contact the SIG: Others ,
and any of the maintainers: @kaitiandu, @small_leek ,
and any of the committers: @gitee-cmd, @wang--ge, @wk333 .

Funda Wang

8月15日关联了pull request：update to version 2.1.0

Funda Wang

8月15日 issue类型由版本改变为缺陷

openeuler-ci-bot成员

8月15日将 gitee-cmd 设为负责人

openeuler-ci-bot成员

8月15日修改了issue 的描述

openeuler-ci-bot成员

8月15日评论：

以下的要求不是强制性的, 未按模板评论时对issue无任何影响
issue处理注意事项:
1. 当前issue受影响的分支提交pr时, 须在pr描述中填写当前issue编号进行关联, 否则无法关闭当前issue;
2. 模板内容需要填写完整, 无论是受影响或者不受影响都需要填写完整内容,未引入的分支不需要填写, 否则无法关闭当前issue;
3. 以下为模板中需要填写完整的内容, 请复制到评论区回复, 注: 内容的标题名称(影响性分析说明, 缺陷严重等级, 受影响版本排查(受影响/不受影响), 修复是否涉及abi变化(是/否))不能省略,省略后defect-manager将无法正常解析填写内容.
评论区可能使用到的指令说明: