CH azonosító
CH-4661Angol cím
qooxdoo Cross-Site Scripting and File Disclosure VulnerabilitiesFelfedezés dátuma
2011.04.05.Súlyosság
KözepesÖsszefoglaló
A qooxdoo olyan sérülékenységei váltak ismertté, amelyeket a támadók kihasználhatnak cross-site scripting támadások okozására és bizalmas információk felfedésére.
Leírás
- A framework/source/resource/qx/test/jsonp_primitive.php-ben a “callback” paraméternek átadott bemenet nincs megfelelően ellenőrizve, mielőtt visszakerül a felhasználóhoz. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngésző munkamenetében, az érintett oldallal kapcsolatosan.
- A framework/source/resource/qx/test/part/delay.php-ben a “file” paraméternek átadott bemenet nincs megfelelően ellenőrizve, mielőtt fájlok megjelenítéséhez használnák. Ez könyvtárbejárásos támadásokkal kihasználható tetszőleges fájlok tartalmának felfedésére.
A sérülékenységeket az 1.3. verzióban ismerték fel, de más verziók is érintettek lehetnek.
Megoldás
Javítsa a forráskódot a bemenet megfelelő ellenőrzése érdekébenTámadás típusa
Input manipulation (Bemenet módosítás)Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: www.autosectools.com
Egyéb referencia: www.autosectools.com
SECUNIA 43818