Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Open Webmail Content-Type: Header Script Injection Vulnérabilité

21/01/2007 23H53
Référence Secunia : SA11778 
Date de publication : 2004-06-05

Risque : Moyennement Critique. Niveau 3 sur 5.
Impact : Cross Site Scripting
Lieu : A distance


Solutions :
Solution de l'éditeur


Produit :
Open WebMail 1.x
Open WebMail 2.x

Description :
Une vulnérabilité a été identifiée dans Open WebMail, qui pourrait être exploitée par des personnes malintentionnées pour conduire script injection attaques.

La vulnérabilité est causée du fait que missing input validation de the "Content-Type:" header. Cela pourrait être exploité via un courriel spécialement conçus contenant HTML ou du code de script dans le "Content-Type:" header pour exécuter le code dans une session de navigation d'un utilisateur dans le contexte d'un site vulnérable, quand le courriel malicieux est affiché.

La vulnérabilité a été rapportée en version 2.32. Les versions précédentes pourraient également être affectées.


Solutions :
La vulnérabilité a été corrigée dans le dernier openwebmail-current.tgz:
http://openwebmail.org/openwebmail/download/openwebmail-current.tgz


Vulnérabilité découverte par :

Découverte initiale dans SquirrelMail par:
Román Medina-Heigl Hernández

Rapporté dans Open WebMail par:
aramosf


Autres références :

SA11734:
http://secunia.com/advisories/11734/






Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.