Дата публикации: | 04.08.2005 |
Всего просмотров: | 1272 |
Опасность: | Средняя |
Наличие исправления: | Нет |
Количество уязвимостей: | 1 |
CVE ID: |
CVE-2005-2488 CVE-2005-2489 |
Вектор эксплуатации: | Удаленная |
Воздействие: |
Межсайтовый скриптинг Неавторизованное изменение данных Обход ограничений безопасности |
CWE ID: | Нет данных |
Наличие эксплоита: | Нет данных |
Уязвимые продукты: | web content management |
Уязвимые версии: web content management
Описание: 1. Межсайтовый скриптинг возможен из-за недостаточной проверки входных данных. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта. Примеры: http://[target]/[path]/Includes/validsession.php?strRootpath= ');}//%20--></script><script>a lert(document.cookie)</script> http://[target]/[path]/Admin/News/List.php?strTable=<script> alert(document.cookie)</script><!--2. Удаленный пользователь может с помощью специально сформированного URL создать учетную запись администратора. Пример: http://[target]/[path]/Admin/Users/AddModifyInput.php URL производителя: Решение: Способов устранения уязвимости не существует в настоящее время. |
|
Ссылки: | Web Content Management News System Administrative Account creation & cross site scripting poc |