Összefoglaló
Egy sérülékenységet jelentettek az Interspire Website Publisherben, amelyet kihasználva támadók cross-site request forgery (XSRF) támadásokat hajthatnak végre.
Leírás
Egy sérülékenységet jelentettek az Interspire Website Publisherben, amelyet kihasználva támadók cross-site request forgery (XSRF) támadásokat hajthatnak végre.
A sérülékenységet az okozza, hogy az alkalmazás engedélyezi a felhasználóknak bizonyos lépések végrehajtását HTTP kéréseken keresztül anélkül, hogy ellenőrizné a kérések hitelességét. Ez kihasználható például tetszőleges felhasználók létrehozására, ha a bejelentkezett adminisztrátor megtekint egy speciálisan erre a célra elkészített weboldalt.
A sérülékenységet az 5.0.5 verzióban jelentették, de más verziók is érintettek lehetnek.
Megoldás
Ne nyisson meg megbízhatatlan oldalakat vagy linkeket, amikor az alkalmazásba be van jelentkezve!
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: holisticinfosec.org
SECUNIA 35529