Выполнение произвольных команд панели управления в CuteNews

Описание:
Уязвимость позволяет удаленному пользователю произвести XSS нападение.

Удаленный пользователь может заставить администратора создать новую злонамеренную учетную запись на системе.

Удаленный пользователь может представить специально обработанное сообщение, которое, когда будет просмотрено администратором системы, выполнить произвольные команды Панели Управления в браузере администратора. Команды панели управления могут быть вставлены в скрытый IFRAME (или используя другой подобный метод) внутри нового сообщения. Пример:

<iframe src="index.php?regusername=owned&regpassword=pass&regnickname=owned&regemail=none@none.com&reglevel=1&action=ad duser&mod=editus height=0 width=0 frameborder=0 scrolling=0></iframe>

URL производителя: www.cutephp.com

Решение: Установите последнюю версию 1.4.1 с сайта производителя.

Журнал изменений:

26.01.2009
Изменена секция «Решение», изменено описание уязвимости.