IBM Lotus Connections sérülékenységek

CH azonosító

CH-3167

Felfedezés dátuma

2010.05.30.

Súlyosság

Alacsony

Érintett rendszerek

IBM
Lotus Connections

Érintett verziók

IBM Lotus Connections 2.x

Összefoglaló

Több sérülékenységet találtak az IBM Lotus Connections-ben, amit kihasználva, rosszindulatú támadók bizalmas információkat szerezhetnek, becsaphatják a felhasználókat, cross-site scripting (XSS) támadást indíthatnak.

Leírás

Az IBM Lotus Connections több sérülékenységét jelentették, amiket kihasználva támadók bizalmas információkhoz juthatnak, becsaphatják a felhasználókat, és cross-site scripting (XSS) támadást indíthatnak.

  1. Több sérülékenységet okoz az, hogy bizonyos scriptek lehetőséget adnak arra, hogy egy támadó átirányítsa a felhasználókat egy nem megbízható, hamis weboldalra.
  2. A dijittests_testCommon.js “theme” paraméterének, a dohrunner.html “dojoUrl” és “testUrl” paraméterének, valamint egyéb scriptek nem részletezett változóinak átadott paraméterek nincsenek megfelelően megtisztítva mielőtt visszakerülnének a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatosan.
  3. A Community komponens “create” és “edit” űrlapjának átadott paraméterek nincsenek megfelelően megtisztítva mielőtt visszakerülnének a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatosan.
  4. A Bookmarks komponens “verbiage” változójának átadott paraméterek nincsenek megfelelően megtisztítva mielőtt visszakerülnének a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatosan.
  5. Egy sérülékenységet okoznak a Bookmarklet popup window és “Top Updates” linkek a Homepage komponensben, ha a “force SSL” engedélyezve van.
  6. A mobil Blogs komponenshez tartozó bemenet nincs megfelelően megtisztítva mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében az érintett oldallal kapcsolatosan.
  7. Beazonosítatlan változóknak átadott paraméterek nincsenek megfelelően ellenőrizve, mielőtt azokat a felhasználók átirányítására használná a rendszer. Ezt kihasználva, a felhasználókat tetszőleges oldalra lehet küldeni, ha pl. egy speciálisan elkészített linkre kattintanak egy megbízható oldalon.

Megoldás

Frissítsen a legújabb verzióra

Legfrissebb sérülékenységek
CVE-2024-29944 – Mozilla Firefox ESR sérülékenysége
CVE-2024-29943 – Mozilla Firefox sérülékenysége
CVE-2024-28916 – Xbox Gaming Services sérülékenysége
CVE-2023-46808 – Ivanti Neurons for ITSM sérülékenysége
CVE-2024-2169 – UDP sérülékenysége
CVE-2023-41724 – Ivanti Standalone Sentry sérülékenysége
CVE-2024-27957 – Pie Register sérülékenysége
CVE-2024-25153 – Fortra FileCatalyst sérülékenysége
CVE-2024-21407 – Windows Hyper-V sérülékenysége
CVE-2024-21390 – Microsoft Authenticator sérülékenysége
Tovább a sérülékenységekhez »