EPiServer CMS cross-site scripting és biztonsági szabály megkerülés

CH azonosító

CH-6368

Angol cím

EPiServer CMS Cross-Site Scripting and Security Bypass Vulnerabilities

Felfedezés dátuma

2012.02.05.

Súlyosság

Alacsony

Érintett rendszerek

EPiServer
EPiServer CMS

Érintett verziók

EPiServer CMS 6.x
EPiServer CMS 5.x

Összefoglaló

Az EPiServer CMS két sérülékenysége vált ismertté, amelyet kihasználva rosszindulatú felhasználók megkerülhetnek bizonyos biztonsági szabályokat, míg a támadók cross-site scripting (XSS/CSS) támadásokat hajthatnak végre.

Leírás

  1. Bizonyos nem részletezett bemeneti adat nincs megfelelően megtisztítva, mielőtt a felhasználó számára visszaadásra kerülne. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatban.
  2. A sérülékenységet egy nem részletezett hiba okozza, ami kihasználható adminisztratív jogosultság megszerzésére.
    A sérülékenység sikeres kihasználása “Edit mode” jogosultságot igényel.

Megoldás

Frissítsen a 2012 Január 25-ödikén megjelent 6 R2 verzióra.