极限科技发布2012年首个安全补丁，修复了HTML编辑器可能造成多个跨站脚本漏洞，增加js代码过滤选项、内部短信过滤js代码。用户可登录OA系统，通过系统管理-》系统安全设置-》选择是否禁止JS特效，即可禁止编辑器中输入JS脚本代码，对其进行过滤。

漏洞评级：中危

解决方案：建议正式用户、试用用户立即升级至20120426最新版本。修正合集下载页面：http://www.sohuu.com/download/sp2012.php

漏洞描述：

html编辑器，是所见即所得文本编辑器，支持设置字体、字号、颜色、排版等文字编辑效果，支持js代码输入。html编辑器是网络智能办公系统编辑页面特效的利器，支持js脚本，实现特殊页面效果，但也会造成JS代码漏洞。如果有人在源码中输入 这样的内容，就会弹出窗口干扰用户正常操作。OA系统如果不设置密码，不设置安全访问规则，允许互联网访问可能会造成远程攻击者利用这些漏洞远程执行网页恶意代码，发起网页挂马、仿冒、窃取cookies等攻击。

什么是html编辑器?

百度百科描述：富文本编辑器，Rich Text Editor, 简称 RTE, 是一种可内嵌于浏览器，所见即所得的文本编辑器。它提供类似于 Microsoft Word 的编辑功能，容易被不会编写 HTML 的用户并需要设置各种文本格式的用户所喜爱。它的应用也越来越广泛。最先只有 IE 浏览器支持，其它浏览器相继跟进，比如谷歌、火狐效果都非常不错，在功能的丰富性来说，还是 IE 强些。虽然没有一个统一的标准，但对于最基本的功能，各浏览器提供的 API 基本一致，从而使编写一个跨浏览器的富文本编辑器成为可能。方便用户编辑文章或信息。

极限OA网络智能办公系统简介：

Office Automation网络智能办公系统(简称：极限OA)，经过十一年的发展，历经20个版本，已成长为国产OA软件的领先品牌，拥有广泛的用户群。极限OA在系统安全设置方面提供了访问IP规则设置(只允许特定IP段访问)、禁止登录IP、登录密码错误次数限制等，极限OA也提供更高安全级别的解决方案类似中国银行网银动态密码方案，即使密码外泄，仍能保证用户身份无法冒用，已获得公安部认证等手段。目前极限OA已经有上万家的正式用户使用，终端用户数约100万以上。

【系统简介】

极限OA在功能上媲美售价数十万元的网络办公系统，在安装维护上更提供了采用独有技术开发的傻瓜型安装工具、配置工具和数据库管理工具，用户可在1分钟内自行安装完毕，无需专业人员即可自行维护;系统集成了包括内部电子邮件、短信息、公告通知、日程安排、工作日志、通讯录、快递管理、订餐管理、考勤管理、工作计划、网络硬盘、工作流、讨论区、投票、聊天室、文件柜、人事档案、工资管理、财务系统、人员考核、办公用品、会议管理、车辆管理、图书管理、手机短信、CRM、列车时刻查询、电话区号查询、邮政编码查询、法律法规查询、万年历、世界时间等数十个极具价值的功能模块。

【应用效果】

创造数字化办公环境，实现全球化远程办公和移动办公;建立企业内部信息门户，统一信息发布平台，消除信息混乱;加强组织行为管理，监控制度执行与工作绩效，工作任务实时督办，提高成员的执行力;工作流子系统，实现跨部门流程化协同工作，加强业务规范，提升工作效率;知识管理子系统，打破信息孤岛，实现知识、经验的随时积累、充分利用;?激活企业硬件投资，提高内部资源利用率，实现无纸化办公，降低办公与企业运营成本;客户关系子系统，全方位掌控客户资源，稳定客户关系，提升客户服务质量;通过全面的企业信息化解决方案，快速提高整体信息化水平，提升企业未来竞争力;规范企业信息管理，多级权限控制，确保企业信息安全;加强多层次沟通，实现全员参与，成为塑造企业文化的良好平台。

【安全可靠】

世界上没有绝对安全的软件产品，但极限OA的在软件设计的每一处细节都充分考虑了网络应用环境下的安全问题，把用户对安全性、可靠性的要求，作为软件设计的第一要素。数万家用户多年的应用实践证明了极限OA的安全可靠。

极限OA采用基于WEB的企业计算，主HTTP服务器采用了世界上最先进的Apache服务器，性能稳定可靠。数据存取集中控制，避免了数据泄漏的可能。提供数据备份工具，保护系统数据安全，多级的权限控制，完善的密码验证与登录验证机制、强大的系统日志与地理位置追踪功能更加强了系统安全性。

极限OA提供的动态密码卡安全登录方案，也同时被中国银行、金蝶软件等知名企业采用。显著提高登录安全性，即使密码外泄，仍能保证用户身份无法冒用，已获得信息安全产品销售许可证、公安部认证。

极限OA内置的NTKO Office文档在线编辑组件，能有效提高涉密文档安全性。

极限OA内置的工作流表单手写签章组件，能确保工作流表单数据传递过程的安全性，该组件已获得公安部销售许可、国家密码委员会认证的商用密码产品销售许可。

网络时代环境下，软件产品的更新服务尤为重要，极限OA提供完善的软件升级体系，用户可通过用户服务区快速获得软件更新。极限科技技术人员往往在发现错误报告数小时内，就加以解决并提供更新程序。随时随地提供网络技术支持比如通过QQ远程控制，实现客户现场指导维护服务。

【成熟度高】

在大量用户实际使用的基础上，软件历经20次版本升级，采纳用户建议数千条。得益于严格的实际应用检验，软件成熟度很高，可实施性很强，让用户真正买的放心、用的顺心。

【无风险购买】

与传统管理软件公司保守的营销模式不同，极限OA网络智能办公系统藉由网络覆盖全球市场，提供用户全功能免费版本，开放式售前技术支持。

软件产品可免费试用，购买后1个月内如对产品不满意可无条件全额退款，开创软件产品可以全款退货的先例(注：1个月无条件退款仅针对从总部直接购买的用户，从代理商处购买的，则根据双方的合同约定)。

同时，依靠先进的网络服务系统，总部直接负责售后服务，确保了服务质量和服务深度。良好的软件成熟度、技术支持能力也降低了用户软件投资风险。

总结:

极限OA经过十一年的发展，研发投入数百万，已成长为领先品牌，拥有广泛的用户群。极限OA走可持续发展的道路，始终以满足用户需求为己任，把丰富功能、提升软件质量，作为第一要务，不跟风炒作，坚信酒好不怕巷子深，好产品最终会赢得市场认可!