Drupal Cool Aid Module Custom Help script beszúrásos sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Drupal Cool Aid Module 6.x

Összefoglaló

A Drupal Cool Aid moduljának sérülékenysége vált ismertté, amelyet kihasználva a rosszindulatú felhasználók script beszúrásos (script insertion) támadásokat hajthatnak végre.

Leírás

Bizonyos, a testreszabott súgó üzeneteken (custom help messages) keresztül átadott bemeneti adat nincs megfelelően megtisztítva, mielőtt felhasználásra kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatban, a káros tartalom megtekintése közben.

A sérülékenység sikeres kihasználása “administer coolaid” jogosultságot igényel.

A sérülékenység az 6.x-1.6 előtti verziókat érinti.

Megoldás

Frissítsen az 6.x-1.9 verzióra.

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: drupal.org
SECUNIA 48196