Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Cross Site Scripting holes in Xoops PHP-Nuke NPDS daCode Drupal et phpWebSite

20/01/2007 22H55
Référence Secunia : SA7153  
Date de publication : 2002-09-24
Dernière mise à jour : 2002-10-01

Risque : Non Critique. Niveau 2 sur 5.
Impact : Cross Site Scripting
Lieu : A distance


Solutions :
Correctif Partiel


Produit :
daCode 1.x
Drupal 3.x
Drupal 4.x
NPDS 4.x SuperCache
PHP-Nuke 6.x
phpWebSite 0.x
Xoops 2.x

Description :
Plusieurs systèmes de gestion de contenu sont vulnérables à l'injection de code HTML.

Il apparait également qu'il est possible d'injecter du SQL dans certains scripts PHP-Nuke:

http://www.nukesite.com/modules.php?name=News&file=article&sid=1234%20or%201=1

http://www.xoops.org/modules/news/

PostNuke:
http://marc.theaimsgroup.com/?l=bugtraq&m=103306696427569&w=2


Vulnérabilité découverte par :

Mark Grimes, Stateful Labs
Pedro Inacio
David Suzanne
Historique :
Mark Grims, Cross Site Scripting 24/09/2002
Pedro Inacio, injection SQL 25/09/2002
David Suzanne : vulnérabilités existant dans Xoops, NPDS, daCode, Drupal et phpWebSite 25/09/2002
Xoops a réalisé une nouvelle version, 26/09/2002




Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.