Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Bugzilla Internal Error Response : Cross-Site Scripting

22/01/2007 08H32
Référence Secunia : SA13701 
Date de publication : 2005-01-04
Dernière mise à jour : 2005-01-17

Risque : Non Critique. Niveau 2 sur 5.
Impact : Cross Site Scripting
Lieu : A distance


Solutions :
Correctif de l'éditeur


Produit :
Bugzilla 2.x

Référence CVE :
CVE-2004-1061


Description :
Michael Krax a rapporté une vulnérabilité dans Bugzilla, qui pourrait être exploitée par des personnes malintentionnées pour conduire des attaques cross-site scripting.

L'entrée passée dans des requêtes HTTP n'est pas correctement filtrée avant d'être retournée aux utilisateurs dans les messages d'erreurs quand an internal error est rencontrée. Cela pourrait être exploité pour exécuter du code HTML et de script arbitraire dans une session de navigation d'un utilisateur dans le contexte d'un site vulnérable.


Solutions :
Mettre à jour en version 2.16.8 ou 2.18.
http://www.bugzilla.org/download/


Vulnérabilité découverte par :

Michael Krax
Historique :
2005-01-17: Ajout d'un lien au bulletin de l'éditeur. Section "Solution" mise à jour.

Référence :
http://www.bugzilla.org/security/2.16.7-nr/
https://bugzilla.mozilla.org/show_bug.cgi?id=272620




Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.