Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

Horde url et group : Vulnérabilités Cross-Site Scripting

22/01/2007 09H00
Référence Secunia : SA13860 
Date de publication : 2005-01-14

Risque : Non Critique. Niveau 2 sur 5.
Impact : Cross Site Scripting
Lieu : A distance


Solutions :
Correctif de l'éditeur


Produit :
Horde Application Framework 3.x

Description :
Robert Fly a rapporté deux vulnérabilités dans Horde, qui pourraient être exploitées par des personnes malintentionnées pour conduire des attaques cross-site scripting.

L'entrée passée au paramètre "url" dans "index.php" et "group" dans "prefs.php" n'est pas correctement filtrée avant d'être retournée aux utilisateurs. Cela pourrait être exploité pour exécuter du code HTML et de script arbitraire dans une session de navigation d'un utilisateur dans le contexte d'un site vulnérable.

Les vulnérabilités ont été identifiées dans la version 3.0.0.


Solutions :
Mettre à jour en version 3.0.1 ou supérieure:
http://ftp.horde.org/pub/horde/horde-latest.tar.gz


Vulnérabilité découverte par :

Robert Fly, Hyperdose Security.

Référence :
http://www.hyperdose.com/advisories/H2005-01.txt




Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.