Drupal Views Bulk Operations modul szótár súgó script beszúrás sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Drupal Views Bulk Operations Module 6.x

Összefoglaló

A Drupal Views Bulk Operations modul olyan sérülékenysége vált ismertté, amelyet rosszindulatú felhasználók kihasználhatnak script beszúrásos (script insertion) támadások okozására.

Leírás

Bizonyos taxonómia módosítással kapcsolatos nem részletezett bemeneti adat a “Modify node taxonomy terms” tevékenységgel és a felhasználó jelölést engedélyező szótárral nem kerül megfelelően ellenőrzésre, mielőtt a felhasználó részére szótársúgóként megjelenítésre kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására, amely a felhasználó böngészőjének munkamenetében kerül lefuttatásra, az érintett oldallal kapcsolatosan.

A sérülékenység sikeres kihasználása “administer taxonomy” jogosultságokkal lehetséges.

A sérülékenységet a 6.x-1.11. megelőző verziókban ismerték fel.

Megoldás

Frissítsen a 6.x-1.11. verzióra.

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: drupal.org
SECUNIA 46114