Invision Power IP.Board cross-site scripting (XSS) sérülékenysége

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Invision Power Services IP.Board 3.4

Összefoglaló

Az Invision Power IP.Board sérülékenysége vált ismertté, amelyet kihasználva a támadók cross-site scripting támadásokat hajthatnak végre.

Leírás

A sérülékenység oka, hogy az admin/install/index.php script nem ellenőrzi megfelelően a felhasználótól kapott bemeneti adatokat. A támadók a Referer header segítségével tudják kihasználni a sérülékenységet. A sérülékenység kihasználásával tetszőleges HTML és script kód befecskendezésére nyílik lehetőség, amely a felhasználó böngészőjének munkamenetében fog lefutni.

A támadók ezt kihasználhatják a felhasználó cookie alapú hitelesítési adatainak megszerzésére.

Megoldás

Támadás típusa

Szükséges hozzáférés

Hivatkozások

CVE-2014-5106 - NVD CVE-2014-5106
Egyéb referencia: nvd.nist.gov
Egyéb referencia: xforce.iss.net