CH azonosító
CH-8774Angol cím
Drupal Views Module View Configuration Fields Script Insertion VulnerabilitiesFelfedezés dátuma
2013.03.21.Súlyosság
AlacsonyÖsszefoglaló
A Drupal Views bővítmény olyan sérülékenységei váltak ismertté, amelyeket a rosszindulatú felhasználók kihasználhatnak script beszúrásos (script insertion) támadások kezdeményezésére.
Leírás
Bizonyos nézet konfigurációs mezőkkel kapcsolatos bemeneti adat nincs megfelelően megtisztítva mielőtt felhasználásra kerülne. Ezt kihasználva tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
A sérülékenység “Administer vocabularies and terms” jogosultságokkal vagy további Views-zal integrálódó járulékos modulok adminisztrátor jellegű jogosultságaival használható ki.
A sérülékenységeket a 7.x-3.6 előtti verziókban ismerték fel.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: drupal.org
SECUNIA 51540
CVE-2013-1887 - NVD CVE-2013-1887