Межсайтовый скриптинг и SQL инъекция в phpWebSite
| Дата публикации: | 02.09.2004 |
| Всего просмотров: | 2004 |
| Опасность: | Низкая |
| Наличие исправления: | |
| Количество уязвимостей: | 1 |
| CVE ID: | Нет данных |
| Вектор эксплуатации: | |
| Воздействие: | |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | |
|
Уязвимые версии: phpWebSite 0.9.3-4 и более ранние версии
Описание: Несколько уязвимостей обнаружено в phpWebSite. Удаленный пользователь может внедрить SQL команды и выполнить XSS нападение. Удаленный пользователь может представить специально обработанное событие в module через поле 'cal_template'. Затем, когда администратор получает событие, будут выполнены SQL команды. 2. XSS: /index.php?module=comments&CM_op=replyToComment&CM_pid=1[XSS]Также уязвимы поля subject и message в частных сообщениях посланных через notes модуль. Также сообщается, что phpWebSite нарушает RFC 2616, принимая функции клавиш через http get запросы. В результате, удаленный пользователь может выполнить XSS нападение, чтобы заставить целевого администратора выполнить функции клавиш, например, внедренные в GET запрос в IFRAME или image тэгах или других тэгах. URL производителя: http://phpwebsite.appstate.edu/ Решение:Установите соответствующее обновление: http://www.phpwebsite.appstate.edu/downloads/security/ |
|
| Ссылки: | Multiple Vulnerabilities In phpWebsite |