Drupal Views modul cross-site scripting és script befecskendezés sérülékenységek

CH azonosító

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Drupal Views module 6.x 2.0 - 2.8

Összefoglaló

Néhány sérülékenységet fedeztek fel a Drupal Views modulban, amelyeket támadók kihasználhatnak script beszúrás támadások és cross-site scripting támadások indítására.

Leírás

Néhány sérülékenységet fedeztek fel a Drupal Views modulban, amelyeket támadók kihasználhatnak script beszúrás támadások és cross-site scripting támadások indítására.

1. Az AJAX válaszokból érkező egyes bemenetek visszaküldés előtti ellenőrzése nem megfelelő. Ez kihasználható tetszőleges HTML és script kód beszúrására, amely akkor kerül lefuttatásra, amikor a felhasználó az érintett oldalon böngészik és megtekinti a káros adatot.
2. A fájl leírásokkal átadott bemenetek megjelenítés előtti ellenőrzése nem megfelelő.Ez kihasználható tetszőleges HTML és script kód beszúrására, amely akkor kerül lefuttatásra, amikor a felhasználó az érintett oldalon böngészik és megtekinti a káros adatot.

A sérülékenység sikeres kihasználásához fájl feltöltési jogosultságok szükségesek.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

Gyártói referencia: drupal.org
SECUNIA 39363