EC-CUBE 2.4.4にてECサイトを提供している者です。

商品カテゴリーにおける商品一覧表示について質問があります。

デモサイトにおいてもご確認いただけますが、IEにて
トップページ → 商品カテゴリーのいずれかをクリックして
表示された商品一覧ページにて表示されているブラウザのURL欄を
XSSのコードを挿入するように書き換えると、
ページ表示を汚され「カゴに入れる」が機能しなくなります。
具体例：http://site.ec-cube.net/products/list.php?category_id=2"><script>alert(document.domain)</script>

どのコードをどのように修正すれば、
ページを崩されず正常な機能を提供し続けることができるでしょうか？

下記に当方の環境を記載しておきますので、
お手数ですがご存じの方はご教授ください。

それでは以上、よろしくお願い致します。
失礼します。

---------------------------------------------------------------------------
[EC-CUBE] 2.4.4正式版
[OS] CentOS 5.4
[PHP] PHP 5.2.11
[データベース] MySQL 5.0.87
[WEBサーバ] Apache 2.2.14
[ブラウザ] IE 8 / IE 7
---------------------------------------------------------------------------

2.4系 ですと、コミュニティ版では既に対策済みですので、参考になるかと思います。

具体的なコード提示ではなく恐縮ですが、参考まで。

----------------
Seasoft
こちらでの投稿は、アイディア程度に留めさせていただいております。
個別案件の作業は有償で承っております。お気軽にご相談ください。

ご回答、ありがとうございます。

コミュニティ版にて
LC_Page_Products_CategoryListクラスにlfCheckCategoryId()を追加することで
対応していることを確認しました。

もう1点、会員登録画面の住所自動入力においても
同様の事象を確認することができます。
具体例：http://site.ec-cube.net/input_zip.php?zip1=562&zip2=0000&input1=pref"><script>alert(document.domain)<script>&input2=addr01

こちらについても、どのコードをどのように修正すれば対応できるのかを
ご教授いただきたく存じます。

それでは以上、よろしくお願い致します。
失礼します。

こちらも、2.4系 コミュニティ版では、エラー画面が表示されるようです。

また具体的なコード提示ではなく恐縮ですが・・・

----------------
Seasoft
こちらでの投稿は、アイディア程度に留めさせていただいております。
個別案件の作業は有償で承っております。お気軽にご相談ください。

度々のご回答、ありがとうございます。

コミュニティ版と2.4.4版の住所自動入力の機能に関するコードを見比べ、
HTTP GETで取得した値がきちんとエラーチェックの処理を通るように
修正したところ問題のソース汚染はなくなりました。

また、何かあるときは、よろしくお願いします。