Összefoglaló
Egy sérülékenységet találtak az AWStats Totalsban, amit kihasználva, rosszindulatú támadók XSS támadást hajthatnak végre, vagy feltörhetik a sérülékeny rendszert.
Leírás
Egy sérülékenységet találtak az AWStats Totalsban, amit kihasználva, rosszindulatú támadók XSS támadást hajthatnak végre, vagy feltörhetik a sérülékeny rendszert.
- A “month” és “year” paramétereknek átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszatérne a felhasználóhoz. Ezt kihasználva, tetszőleges HTML és script kódot lehet lefuttatni a felhasználó böngészőjében, az érintett oldal vonatkozásában.
- A “multisort” függvény “sort” paraméteének átadott bement nincs megfelelően ellenőrizve, mielőtt PHP kódot generálna belőle a rendszer. Ezt kihasználva, tetszőleges PHP parancsot lehet lefuttatni, speciálisan kialakított “sort” paraméter elküldésével.
A sérülékenység az 1.15. előtti kiadásokat érinti.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: userwww.service.emory.edu
SECUNIA 31630
CVE-2008-3921 - NVD CVE-2008-3921
CVE-2008-3922 - NVD CVE-2008-3922
