Horde script beszúrásos sérülékenységek

CH azonosító

CH-7944

Angol cím

Horde Multiple Products Portal Block Script Insertion Vulnerabilities

Felfedezés dátuma

2012.11.14.

Súlyosság

Alacsony

Érintett rendszerek

Groupware
Groupware Webmail Edition
Horde
Kronolith module

Érintett verziók

Horde Groupware 4.x
Horde Groupware Webmail Edition 4.x
Kronolith 3.x (Horde bővítmény)

Összefoglaló

A Horde Groupware, a Horde Groupware Webmail Edition és a Kronolith több sérülékenységét jelentették, amiket kihasználva a rosszindulatú felhasználók script beszúrásos (script insertion) támadásokat indíthatnak.

Leírás

A Naptárral (Calendar) kapcsolatos adatok nem megfelelően vannak megtisztítva portal blocks-ban, mielőtt a felhasználónál megjelenítésre kerülnének. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.

A sérülékenységeket az alábbi termékekben jelentették:

  • Horde Groupware Webmail Edition 4.0.9 előtti verziók
  • Horde Groupware versions 4.0.9 előtti verziók
  • Kronolith 3.0.18 előtti verziók

Megoldás

Frissítsen a legújabb verzióra