ClanSphere CKEditor cross-site scripting és fájlfeltöltés sérülékenységek

CH azonosító

CH-4607

Angol cím

ClanSphere CKEditor Cross-Site Scripting and File Upload Vulnerabilities

Felfedezés dátuma

2011.03.24.

Súlyosság

Magas

Érintett rendszerek

ClanSphere
N/A

Érintett verziók

ClanSphere 2010

Összefoglaló

A ClanSphere olyan sérülékenységei váltak ismertté, amelyeket a támadók kihasználhatnak cross-site scripting (XSS/CSS) támadások okozására és a sérülékeny rendszer feltörésére.

Leírás

  1. A ClanSphere CKEditor komponens mods/ckeditor/filemanager/connectors/php/upload.php-ben a “CKEditorFuncNum” paraméternek átadott bemeneti adat nem kerül megfelelően ellenőrzésre, mielőtt a felhasználó részére visszaküldésre kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatosan.
  2. A ClanSphere CKEditor komponens mods/ckeditor/filemanager/connectors/php/upload.php tetszőleges kiterjesztésű fájlok feltöltésére ad lehetőséget, amely kihasználható tetszőleges fájlok feltöltésére és tetszőleges PHP kód futtatására.

A sérülékenységeket a 2010.3. verzióban jelentették. Más verziók is érintettek lehethnek.

Megoldás

Javítsa a forráskódot a bemenet megfelelő ellenőrzése érdekében

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-33072 – Microsoft msagsfeedback.azurewebsites.net Information Disclosure sebezhetősége
CVE-2025-30377 – Microsoft Office Remote Code Execution sebezhetősége
CVE-2024-57726 – SimpleHelp sebezhetősége
CVE-2024-57728 – SimpleHelp sebezhetősége
CVE-2025-20114 – Cisco Unified Intelligence Center Privilege Escalation sebezhetősége
CVE-2025-20113 – Cisco Unified Intelligence Center Privilege Escalation sebezhetősége
CVE-2025-20152 – Cisco Identity Services Engine RADIUS Denial of Service sérülékenysége
CVE-2025-4632 – Samsung MagicINFO 9 Server Path Traversal sérülékenysége
CVE-2023-38950 – ZKTeco BioTime Path Traversal sérülékenysége
Tovább a sérülékenységekhez »