Ifølge Secunia har http-equiv funnet to sårbarheter i Internet Explorer, som kan utnyttes av ondsinnede personer til å kompromittere en brukers system, lenke til lokale ressurser og omgå en sikkerhetsbegrensning i Windows XP med Service Pack 2 installert.
Den ene sårbarheten skyldes utilstrekkelig validering av "drag and drop"-handlinger fra sikkerhetssonen "Internet" til lokale ressurser for gyldige bilder og mediefiler med integrert HTML-kode. Dette betyr at ondsinnede fra et nettsted kan plassere vilkårlige HTML-dokumenter på en brukers system, noe som kan gjøre det mulig å eksekvere vilkårlig skriptkode i sikkerhetssonen "Local Computer".
Windows XP SP2 tillater dog ikke Active Scripting i "Local Computer"-sonen.
Denne sårbarheten ble innrapportert til Microsoft av Secunia den 1|3. oktober.
Den andre sårbarheten skyldes en feil i begrensningen av sikkerhetssoner, slik at en integrert HTML Help-kontroll i for eksempel en ondsinnet webside som referere til en spesielt utformet indeksfil (.hhk), kan kjøre lokale HTML-dokumenter. Denne sårbarheten omgår også "Local Computer"-sonebegrensningen i Windows XP SP2.
De to sårbarhetene kan, kombinert med tilfeller hvor ADO-modellen (ActiveX Data Object) kan skrive vilkårlige filer, utnyttes til å kompromittere en brukers system. Dette skal være mulig i systemer med Internet Explorer 6.0 og Windows XP SP2, som er fullt oppdaterte med sikkerhetsfikser fra Microsoft.
Microsoft har foreløpig ikke kommet med sikkerhetsfikser som retter sårbarhetene.
Secunia anbefaler brukerne å deaktivere Active Content i Internet Explorer. Hvordan dette gjøres, er beskrevet på denne siden.
