Обход strip_tags() функции в PHP
| Дата публикации: | 14.07.2004 |
| Всего просмотров: | 8123 |
| Опасность: | Высокая |
| Наличие исправления: | Да |
| Количество уязвимостей: | 1 |
| CVE ID: |
CVE-2004-0594 CVE-2004-0595 |
| Вектор эксплуатации: | Удаленная |
| Воздействие: |
Обход ограничений безопасности Компрометация системы |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: |
PHP 4.2.x
PHP 4.3.x PHP 4.1.x PHP 4.0.x |
| Уязвимые версии: PHP 4.3.7 и более ранние версии. PHP 5.0.0RC3 и более ранние версии
Описание: Уязвимость обнаружена в PHP в функции strip_tags(). Удаленный пользователь может обойти фильтрацию функции и внедрить произвольные тэги в некоторые Web браузеры. Если отключено 'magic_quotes_gpc' и функция strip_tags() используется для удаления HTML тэгов из данных, представленных пользователем, удаленный пользователь может представить специально обработанные тэги, которые не будут должным образом отфильтрованы функцией. Пример: <\0script> <s\0cript>Уязвимость может эксплуатироваться в браузерах Microsoft Internet Explorer и Apple's Safari, которые игнорируют строку '\0' и интерпретируют тэги, приведенные выше, как правильные тэги. URL производителя: http://www.php.net Решение:Установите обновленную версию программы (4.3.8 или 5.0): http://www.php.net/downloads.php |
|
| Ссылки: | Advisory 12/2004: PHP strip_tags() bypass vulnerability |