Drupal Dashboard modul script beszúrás sérülékenység

CH azonosító

CH-3399

Felfedezés dátuma

2010.07.28.

Súlyosság

Alacsony

Érintett rendszerek

Dashboard module
Drupal

Érintett verziók

Drupal Dashboard module 6.x

Összefoglaló

A Drupal Dashboard modul olyan sérülékenysége vált ismertté, amelyet rosszindulatú felhasználók kihasználhatnak script beszúrásos támadások kezdeményezésére.

Leírás

Az alapértelmezett widgetekhez társított “tags” és “titles” paramétereken keresztül átadott bemenet az áttekintő oldal (dashboard) létrehozásakor nincs megfelelően ellenőrizve, mielőtt felhasználnák. Ez kihasználható tetszőleges HTML és script kód beszúrására, ami a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatosan fut le a rosszindulatú adat megtekintésekor.

A sérülékenység sikeres kihasználáshoz “administer dashboard defaults” jogosultságok szükségesek.

A sérülékenységet a 6.x-2.1-est megelőző verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra