DokuWiki “rss” script beszúrás sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

DokuWiki

Összefoglaló

A DokuWiki olyan sérülékenysége vált ismertté, melyet kihasználva támadók script beszúrásos támadásokat indíthatnak.

Leírás

RSS link hozzáadásakor az “rss” címkével átadott bemenet nincs megfelelően megtisztítva megjelenítés előtt. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngésző munkamenetében egy érintett oldallal kapcsolatosan a kártékony adatok megjelenítésekor.

A sikeres kihasználáshoz tartalom létrehozásához vagy módosításához szükséges jogosultságok kellenek.

A sérülékenységet a 2010-11-07a és 2011-05-25 verziókban jelentették, de korábbi verziók is érintettek lehetnek.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

SECUNIA 45009
Egyéb referencia: www.freelists.org
Egyéb referencia: github.com