Межсайтовый скриптинг в pMachine

Дата публикации:
24.06.2003
Всего просмотров:
1534
Опасность:
Наличие исправления:
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Воздействие:
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Описание: Уязвимость в проверке правильности ввода обнаружена в pMachine. Удаленный пользователь может выполнить XSS нападение.

Сообщается, что система поиска в pMachine не фильтрует HTML код в данных, представленных пользователям. Удаленный пользователь может сконструировать специально обработанный URL, содержащий произвольный HTML код, который будет выполнен в браузере пользователя, просматривающего эту ссылку, в контексте уязвимого сайта. Пример:

http://[TARGET]/[pMachine Public Path]/search/index.php?weblog=[THE
WEBLOG] &keywords=[XSS ATTACK CODE]
Также сообщается, что несколько сценариев раскрывают инсталляционный путь удаленному пользователю. Пример:
http://[TARGET]/[pMachine PATH]/index.php?sfx=./nothing
http://[TARGET]/[pMachine PATH]/inc.lib.php?sfx=./nothing
http://[TARGET]/[pMachine PATH]/inc.cp.php?sfx=./nothing
http://[TARGET]/[pMachine PATH]/lib/weblog.add.php
http://[TARGET]/[pMachine PATH]/lib/comment.add.php
Уязвимость обнаружена в pMachine 2.2.x

Ссылки: pMachine Cross Site Scripting in Search module and Path Disclosures
или введите имя

CAPTCHA