ExpressionEngine “avatar” script beszúrás sérülékenység

2009. március 22. 23:00

CH azonosító

CH-2048

Felfedezés dátuma

2009.03.22.

Súlyosság

Alacsony

Érintett rendszerek

EllisLab
ExpressionEngine

Érintett verziók

EllisLab ExpressionEngine 1.6.4 - 1.6.6

Összefoglaló

Az ExpressionEngine olyan sérülékenysége vált ismertté, melyet kihasználva rosszindulatú felhasználók script beszúrásos támadásokat tudnak végrehajtani.

Leírás

Az ExpressionEngine olyan sérülékenysége vált ismertté, melyet kihasználva rosszindulatú támadók script beszúrásos támadásokat tudnak végrehajtani.

Az “avatar” paraméterhez rendelt bevitel a system/index.php-ben (amikor az “M” “select_avatar”-ra és a “C” “myaccount”-ra van állítva) nincs megfelelően megtisztítva használat előtt. Ez kihasználható tetszőleges HTML és script kód beszúrására, ami a felhasználó böngészőjében fut le egy érintett oldallal kapcsolatosan a kártékony avatar megjelenítésekor.

Legfrissebb sérülékenységek

CVE-2024-20295 – Cisco IMC sérülékenysége

CVE-2024-3400 – Palo Alto Networks PAN-OS sérülékenysége

CVE-2024-3566 – Windows CreateProcess sérülékenysége

CVE-2024-22423 – yt-dlp sérülékenysége

CVE-2024-1874 – PHP sérülékenysége

CVE-2024-24576 – Rust sérülékenysége

CVE-2023-45590 – Fortinet FortiClientLinux sérülékenysége

CVE-2024-29988 – Microsoft Windows SmartScreen sérülékenysége

CVE-2024-26234 – Microsoft Windows proxy driver sérülékenysége

CVE-2023-6320 – LG webOS sérülékenysége

Tovább a sérülékenységekhez »

ExpressionEngine “avatar” script beszúrás sérülékenység