Межсайтовый скриптинг в phpLDAPadmin

Дата публикации:
22.04.2006
Дата изменения:
17.10.2006
Всего просмотров:
2018
Опасность:
Низкая
Наличие исправления:
Нет
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
Нет данных
Вектор эксплуатации:
Удаленная
Воздействие:
Межсайтовый скриптинг
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
phpLDAPadmin 0.x
Уязвимые версии: phpLDAPadmin 0.9.8, возможно другие версии.

Описание:
Уязвимость позволяет удаленному пользователю произвести XSS нападение.

1. Уязвимость существует из-за недостаточной обработки входных данных в параметрах "dn" и "scope" в различных сценариях. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта. Пример:

http://[host]/compare_form.php?server_id=0&dn=[code]
http://[host]/copy_form.php?server_id=0&dn=[code]
http://[host]/rename_form.php?server_id=0&dn=[code]
http://[host]/template_engine.php?server_id=0&dn=[code]
http://[host]/delete_form.php?server_id=0&dn=[code]
http://[host]//search.php?server_id=0&search=true&filter=objectClass%3D%2A&base_dn=cn%3Dtoto%2Cdc%3D
example%2Cdc%3Dcom&form=advanced&scope=[code]

2. Уязвимость существует из-за недостаточной обработки входных данных в параметрах "Container DN", "Machine Name" и "UID Number" в сценарии "template_engine.php". Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.

URL производителя: phpldapadmin.sourceforge.net

Решение: Способов устранения уязвимости не существует в настоящее время.

Ссылки: phpLDAPadmin multiple vuln.

или введите имя

CAPTCHA