Drupal Commerce modul script beszúrás sérülékenységek

CH azonosító

CH-6322

Angol cím

Drupal Commerce Module Product Titles and SKUs Two Script Insertion Vulnerabilities

Felfedezés dátuma

2012.01.25.

Súlyosság

Alacsony

Érintett rendszerek

Commerce module
Drupal

Érintett verziók

Drupal Commerce module 7.x

Összefoglaló

A Drupal Commerce modul két sérülékenységét jelentették, melyeket rosszindulatú felhasználók kihasználhatnak script beszúrásos támadások indítására.

Leírás

A termék fejlécekkel és a SKU-kal kapcsolatos bizonyos bemeneteket a smink függvények nem megfelelően ellenőriznek felhasználás előtt. Ez kihasználható tetszőleges HTML és script kódok beszúrására, melyek lefuttatásra kerülnek a felhasználó érintett oldallal kapcsolatos böngésző munkamenetében, a káros adatok megtekintésekor.

A sikeres kihasználás feltétele a termék létrehozási (product creation) jogosultság, valamint a termék (product display) node-oknál az extra mezőknek a megjelenítése (alapértelmezetten rejtett).

A sérülékenységeket a 7.x-1.1. verzióban jelentették.

Megoldás

Frissítsen a legújabb verzióra

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2010-3765 – Mozilla Multiple Products RCE sérülékenysége
CVE-2013-3918 – Microsoft Windows Out-of-Bounds Write sérülékenysége
CVE-2025-27915 – Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting sérülékenysége
CVE-2010-3962 – Microsoft Internet Explorer Uninitialized Memory Corruption sérülékenysége
CVE-2021-22555 – Linux Kernel Heap Out-of-Bounds Write sérülékenysége
CVE-2025-4008 – Smartbedded Meteobridge Command Injection sérülékenysége
CVE-2015-7755 – Juniper ScreenOS Improper Authentication sérülékenysége
CVE-2017-1000353 – Jenkins RCE sérülékenysége
CVE-2014-6278 – GNU Bash OS Command Injection sérülékenysége
Tovább a sérülékenységekhez »