一名安全研究人員發現，微軟公司Windows XP Service Pack 2中的新缺陷可導致在這個完全打完補丁的系統中被人放入可執行程序。
該研究者被稱為Http-equive和Malware.com網站的運作人。他在微軟IE浏覽器的本地安全區域中發現了缺陷，即通過使用Html的幫助控制，可以超越本地安全區域的安全限制。
研究者發現，如果與另一項單獨的缺陷結合，即拖放操作可以讓系統出現可執行內容，那麼攻擊結果就是來自外部網站潛在惡意代碼的植入和執行。該研究者在網站上提供了概念例證的證明。
概念例證的拖放組件超越了微軟最近發布的相關缺陷補丁程序的范圍。PivX解決方案公司高級研究人員Larholm指出：針對MS04-038而設計的微軟補丁程序無法直接解決拖放問題，微軟補丁程序是通過限制采用DYNSRC的文件類型來防范缺陷的。
Larholm指出，DYNSRC規定網頁所用媒體目標的地址，正如缺陷發現者在原始報告中所指出的那樣，這種限制可以被智取。
他還說，這個問題相對較小，微軟可以不用太大麻煩即可解決。在此期間，用戶可以在注冊表中配置“Kill Bit”，不讓特別的命令行目標發揮作用（Shell.Explorer）。PivX公司的網站上提供了修復該缺陷的注冊表修復方式。
安全公司說，為了植入和運行攻擊程序，用戶必須執行拖放操作。在實際攻擊中，用戶有可能受到圖像或音樂這類文件的誘惑，這些文件有可能含有攻擊程序。
微軟公司發言人稱，公司正在調查Window XP Service Pack 2的缺陷相關報道，早期版本的Windows可以使攻擊者在用戶系統中植入惡意文件。
