Межсайтовое выполнение сценариев в phpCMS

Дата публикации:
29.11.2004
Всего просмотров:
821
Опасность:
Низкая
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
CVE-2004-1202
CVE-2004-1203
Вектор эксплуатации:
Удаленная
Воздействие:
Межсайтовый скриптинг
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
phpCMS 1.x
Уязвимые версии: phpCMS 1.2.1 и более ранние версии

Описание:
Обнаружено несколько уязвимостей в phpCMS. Удаленный атакующий может выполнить XSS атаку и получить данные об установочной директории приложения на сервере.

1. Межсайтовое выполнение сценариев возможно из-за ошибки при проверке входных данных параметра 'file' в файле 'parser.php'. Удаленный атакующий может создать специально сформированный URL и выполнить произвольный HTML код в браузере целевого пользователя. Пример:

http://[target]/parser/parser.php?file=<script>alert(document.cookie)</script>

2. Если phpCMS запущен в режиме отладки, удаленный пользователь может запросить несуществующий документ на сервере, что приведет к сообщению об ошибке и раскрытию установочной директории приложения на сервере. Пример:

http://[target]/parser/parser.php?file=donot exist

URL производителя: www.phpcms.de

Решение: Установите обновление
http://www.phpcms.de/download/index.en.html

Ссылки: Cross-Site Scripting Attacks in phpCMS

или введите имя

CAPTCHA