Összefoglaló
A PluXml több sérülékenységét jelentették, amelyeket kihasználva a támadók cross-site scripting (XSS/CSS) támadást indíthatnak, valamint bizalmas információkat szerezhetnek.
Leírás
- A ‘default_lang’ POST paraméteren keresztül az update/index.php részére átadott bementi adat nincsen megfelelően ellenőrizve mielőtt fájlok beolvasásához használnák. Ez kihasználható tetszőleges helyi vagy távoli fájlok beolvasására könyvtár bejárásos támadáson keresztül.
- Bizonyos a fájl frissítéshez kapcsolódó bemeneti adatok nincsenek megfelelően ellenőrizve, mielőtt visszaadnák azokat a felhasználónak. Ezt kihasználva, tetszőleges HTML és script kódot lehet futtatni a felhasználó böngészőjének munkamenetében az érintett oldal vonatkozásában.
A sérülékenységeket az 5.1.6 előtti verziókban jelentették.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
SECUNIA 49026
CVE-2012-2227 - NVD CVE-2012-2227
Gyártói referencia: telechargements.pluxml.org
Egyéb referencia: www.htbridge.com