Összefoglaló
Egy sérülékenységet találtak a ScrewTurn Wikiben, amit kihasználva, rosszindulatú támadók script beszúrásos támadást hajthatnak végre.
Leírás
Az “/admin.aspx – System Log” oldalnak hibaüzeneteken keresztül átadott bemenet nincs megfelelően ellenőrizve felhasználás előtt. Ezt kihasználva, tetszőleges HTML és script kódot lehet beszúrni, amit az adminisztrátor böngésző munkamenetében lehet lefuttatni, ha megjelenítik a system log oldalt.
A sérülékenységet a 2.0.29. és 2.0.30. verzióban találták, de korábbi kiadások is érintettek lehetnek,
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.portcullis.co.uk
Gyártói referencia: www.screwturn.eu
SECUNIA 31242
CVE-2008-3483 - NVD CVE-2008-3483