使用JSF 2.3.9遇Fortify告警：反射型XSS与目录遍历求助

1. 反射型XSS（Reflected XSS） #

告警原因 #

这是Mojarra（JSF官方实现）的已知漏洞：在EE4J版2.3.10、JSF版2.2.20之前的版本中，faces/context/PartialViewContextImpl.java对客户端传入的窗口字段处理不严谨，未做充分的输入校验和输出编码。攻击者可构造包含恶意脚本的请求，服务器会将脚本直接反射回客户端浏览器执行，进而窃取用户会话、篡改页面内容。

修复方法 #

直接升级Mojarra到2.3.10或更高版本。该版本已修复窗口字段的输入过滤逻辑，对用户传入内容做了严格编码，阻断恶意脚本执行路径。

2. 目录遍历（Directory Traversal） #

告警原因 #

Mojarra 2.3.14之前的版本存在路径校验缺陷，攻击者可通过请求中的loc或con参数注入../这类路径遍历字符，绕过服务器文件访问限制，读取服务器上的任意敏感文件（如配置文件、日志等）。

修复方法 #

升级Mojarra到2.3.14或更高版本。新版本对loc、con参数做了严格的路径规范化与合法性校验，会拦截含遍历字符的恶意请求，防止未授权文件访问。

额外提示 #

• 升级前先在测试环境验证兼容性，确保现有JSF页面、自定义组件不会因版本变更出现异常。
• 升级完成后重新运行Fortify扫描，确认告警已清除。

内容的提问来源于stack exchange，提问作者ebrukaya