Vulnerabilidad en QtWeb (CVE-2009-3015)

QtWeb v3.0 Builds 001 y 003 no bloquea apropiadamente las URIs javascript: y data: en las cabeceras Refresh y Location de las respuestas HTTP, lo que permite realizar a atacantes remotos ataques de ejecución de secuencias de comandos en sitios cruzados(XSS) a través de vectores relacionados con (1) la inyección de un encabezado Refresh que contiene una URI javascript: , (2) la introducción de una URI javascript: cuando se especifica el contenido de una cabecera Refresh, (3) la inyección de una cabecera Refresh que contenga secuencias JavaScript en una URI data:text/html, (4) la introducción de URIs data:text/html con secuencias JavaScript cuando se especifica el contenido de una cabecera Refresh, (5) la inyección de una cabecera Location que contenga secuencias de JavaScript en una URI data:text/html, o (6) la introducción de una URI data:text/html con secuencias JavaScript cuando se especifica el contenido de una cabecera Location.