DotNetNuke sérülékenységek

CH azonosító

CH-7964

Angol cím

DotNetNuke Multiple Vulnerabilities

Felfedezés dátuma

2012.11.15.

Súlyosság

Közepes

Érintett rendszerek

DotNetNuke
DotNetNuke Corporation

Érintett verziók

DotNetNuke 6.x

Összefoglaló

A DotNetNuke egy ismeretlen hatású és több olyan sérülékenységeit jelentették, amelyeket a rosszindulatú felhasználók kihasználva megkerülhetnek bizonyos biztonsági szabályokat és script beszúrásos (script insertion) támadásokat hajthatnak végre.

Leírás

  1. Az oldalak nevei által átadott bemeneti adatok nincsenek megfelelően megtisztítva, mielőtt felhasználásra kerülnének. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
    A sérülékenység sikeres kihasználásához oldalak hozzáadása vagy szerkesztése jog szükséges.
  2. A modulok címei által átadott bemeneti adatok nincsenek megfelelően megtisztítva, mielőtt felhasználásra kerülnének. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
    A sérülékenység sikeres kihasználásához az oldalakhoz történő modul hozzáadás vagy modul szerkesztés jogosultság szükséges.
  3. A bejegyzés szövegei és listabejegyzés értékei által átadott bemeneti adatok nincsenek megfelelően megtisztítva, mielőtt felhasználásra kerülnének. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
    A sérülékenység sikeres kihasználásához lista elemek hozzáadása jogosultság szükséges.
  4. A kiterjesztett láthatóság tulajdonság hozzáférési ellenőrzésének beállítása során fellépő hiba kihasználható egyébként korlátozott mezőkhöz történő hozzáférésre.
    A sérülékenység sikeres kihasználásához egy tagkönyvtár modulhoz való hozzáférés szükséges.
  5. Profilképek feltöltése során fellépő hiba kihasználható érvénytelen fájlok betöltésére.

A sérülékenységeket a 6.2.5 verziónál korábbiakban jelentették.

Megoldás

Frissítsen a legújabb verzióra