Drupal FileField Sources bővítmény sérülékenység

2012. szeptember 21. 07:10

CH azonosító

CH-7613

Angol cím

Drupal FileField Sources Module Filename Script Insertion Vulnerability

Felfedezés dátuma

2012.09.19.

Súlyosság

Alacsony

Érintett rendszerek

Drupal
FileField Sources module

Érintett verziók

Drupal FileField Sources Module 6.x, 7.x

Összefoglaló

A Drupal FileField Sources bővítmény olyan sérülékenysége vált ismertté, amelyet kihasználva a támadók script beszúrásos támadásokat (script insertion) tudnak végrehajtani.

Leírás

Egyes fájlnevekkel kapcsolatos bemeneti adatok nincsenek megfelelően megtisztítva használat előtt. Ez kihasználható tetszőleges HTML és script kód beszúrására ami a felhasználó böngészőjének munkamenetében fut le egy érintett oldallal kapcsolatosan a kártékony adatok megtekintésekor.

A sérülékenység kihasználásának feltétele, hogy fájlokat lehessen feltölteni olyan mezőkre, amelyeknek a “Reference existing” forrás engedélyezve van.

A sérülékenység a 6.x-1.6 előtti 6.x-1.x és a 7.x-1.6 előtti 7.x-1.x verziókban jelentették.