有关代理服务器中的漏洞的信息 ，去年在 Squid 4.8 的发布中就被悄悄淘汰了。 该问题存在于处理 URL 开头的“@”块（“user@host”）的代码中，允许您绕过访问限制规则、毒害缓存内容并执行跨站点脚本攻击。
- — 使用专门设计的 URL 的客户端可以绕过使用 url_regex 指令指定的规则，并获取有关代理和已处理流量的机密信息（获得对缓存管理器界面的访问权限）。
- — 通过操作 URL 中的用户名数据，您可以实现在缓存中存储特定页面的虚构内容，例如，可以使用该内容在其他站点的上下文中组织 JavaScript 代码的执行。
来源： opennet.ru