Flowplayer “linkUrl” cross-site scripting sérülékenység

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Flowplayer 3.x

Összefoglaló

A Flowplayer olyan sérülékenysége vált ismertté, amelyet a támadók kihasználhatnak cross-site scripting (CSS/XSS) támadások indítására.

Leírás

A flowplayer-3.2.7.swf-nek a “linkUrl” paraméterrel átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható az érintett oldal felhasználói böngésző munkamenetében történő tetszőleges HTML és script kód futtatására.

A sérülékenységet a 3.2.7. verzióban igazolták fel, de más verziók is érintettek lehetnek.

Megoldás

Javítva a fejlesztői verzióban.

Támadás típusa

Szükséges hozzáférés

Hivatkozások

SECUNIA 45213
Gyártói referencia: code.google.com