Межсайтовый скриптинг и обход ограничений безопасности в web content management

Дата публикации:
04.08.2005
Всего просмотров:
1033
Опасность:
Средняя
Наличие исправления:
Нет
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
CVE-2005-2488
CVE-2005-2489
Вектор эксплуатации:
Удаленная
Воздействие:
Межсайтовый скриптинг
Неавторизованное изменение данных
Обход ограничений безопасности
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
web content management
Уязвимые версии: web content management

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение и создать административную учетную запись в приложении.

1. Межсайтовый скриптинг возможен из-за недостаточной проверки входных данных. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта. Примеры:

http://[target]/[path]/Includes/validsession.php?strRootpath=
');}//%20--></script><script>a lert(document.cookie)</script>

http://[target]/[path]/Admin/News/List.php?strTable=<script>
alert(document.cookie)</script><!--
2. Удаленный пользователь может с помощью специально сформированного URL создать учетную запись администратора. Пример:
http://[target]/[path]/Admin/Users/AddModifyInput.php

URL производителя:
www.web-content-management.us

Решение: Способов устранения уязвимости не существует в настоящее время.

Ссылки: Web Content Management News System Administrative Account creation & cross site scripting poc

или введите имя

CAPTCHA