CH azonosító
CH-5126Angol cím
Joomla! Newsletter Subscriber Plugin "name" and "email" Cross-Site Scripting VulnerabilitiesFelfedezés dátuma
2011.06.29.Súlyosság
AlacsonyÖsszefoglaló
A Joomla! Newsletter Subscriber bővítményének olyan sérülékenységeit jelentették, amelyeket kihasználva a támadók cross-site scripting (XSS) támadásokat hajthatnak végre.
Leírás
Az index.php-nak átadott “name” és “email” POST paraméterek a bővítményt használó weboldalak megtekintésekor nincsenek megfelelően ellenőrizve a newsletter_subscriber.php-ben, mielőtt visszaadásra kerülnének. Ezt kihasználva tetszőleges HTML és script kódot lehet lefuttatni a felhasználó böngészőjében, az érintett oldal vonatkozásában.
A sérülékenységeket a bővítmény Joomla! 1.5. verziójához készült 1.3. kiadásában jelentették és a Joomla! 1.6. verziójához készült 1.2. kiadásában igazolták. Korábbi verziók is érintettek lehetnek.
Támadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
SECUNIA 45083
Gyártói referencia: docs.joomla.org
