ClanSphere CKEditor cross-site scripting és fájlfeltöltés sérülékenységek

CH azonosító

CH-4607

Angol cím

ClanSphere CKEditor Cross-Site Scripting and File Upload Vulnerabilities

Felfedezés dátuma

2011.03.24.

Súlyosság

Magas

Érintett rendszerek

ClanSphere
N/A

Érintett verziók

ClanSphere 2010

Összefoglaló

A ClanSphere olyan sérülékenységei váltak ismertté, amelyeket a támadók kihasználhatnak cross-site scripting (XSS/CSS) támadások okozására és a sérülékeny rendszer feltörésére.

Leírás

  1. A ClanSphere CKEditor komponens mods/ckeditor/filemanager/connectors/php/upload.php-ben a “CKEditorFuncNum” paraméternek átadott bemeneti adat nem kerül megfelelően ellenőrzésre, mielőtt a felhasználó részére visszaküldésre kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatosan.
  2. A ClanSphere CKEditor komponens mods/ckeditor/filemanager/connectors/php/upload.php tetszőleges kiterjesztésű fájlok feltöltésére ad lehetőséget, amely kihasználható tetszőleges fájlok feltöltésére és tetszőleges PHP kód futtatására.

A sérülékenységeket a 2010.3. verzióban jelentették. Más verziók is érintettek lehethnek.

Megoldás

Javítsa a forráskódot a bemenet megfelelő ellenőrzése érdekében

Legfrissebb sérülékenységek
CVE-2023-1289 – ImageMagick sérülékenysége
CVE-2023-1050 – Koc Energy Web Report System sérülékenysége
CVE-2022-22512 – VARTA Storage Web-UI sérülékenysége
CVE-2023-25859 – Adobe Illustrator sérülékenysége
CVE-2023-25860 – Adobe Illustrator sérülékenysége
CVE-2023-25861 – Adobe Illustrator sérülékenysége
CVE-2023-26358 – Adobe Creative Cloud sérülékenysége
CVE-2023-26426 – Adobe Illustrator sérülékenysége
CVE-2023-27855 – Rockwell Automation's ThinManager ThinServer sérülékenysége
CVE-2023-1529 – Google Chrome sérülékenysége
Tovább a sérülékenységekhez »