SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection Référence Secunia : SA19434 Risque : Relativement faible. Niveau 2 sur 5.  Impact : Cross Site Scripting Lieu : A distance Solutions : Non corrigée Produit : Connect Daily 3.x Description : r0t a découvert quelques vulnérabilités dans Connect Daily, qui pourraient être exploitées par des personnes malintentionnées pour conduire des attaques cross-site scripting. Une certaine entrée n'est pas contrôlée correctement avant d'être renvoyée à l'utilisateur. Cela pourrait être exploité pour exécuter du code HTML et script arbitraires dans une session de navigation d'un utilisateur dans le contexte d'un site affecté. Exemples : http://[hôte]/ViewDay.html?start=2453810&&integral=0&style_sheetuserStyle.css&dropdown=1&show_stop=0&show_resources0&calendar_id=[code] http://[hôte]/ViewDay.html?start=2453810&&integral=0&style_sheet=[code] http://[hôte]/ViewDay.html?start=[code] http://[hôte]/ViewCal.html?item_type_id=[code] http://[hôte]/ViewSearch.html?integral=0&show_stop=0&show_resources=0&criteria=calendar_id%3D34&txtSearch=[code] http://[hôte]/ViewSearch.html?integral=0&show_stop=0&show_resources=0&criteria=calendar_id%3D34&txtSearch=&opgFields1&opgSearch=[code] http://[hôte]/ViewSearch.html?integral=0&show_stop=0&show_resources=0&criteria=calendar_id%3D34&txtSearch=&opgFields=[code] http://[hôte]/ViewYear.html?n=1&dropdown=1&integral=0&approved=1&show_stop=0&show_resources=0&calendar_id=[code] http://[hôte]/ViewYear.html?n=1&dropdown=1&integral=0&approved=[code] http://[hôte]/ViewWeek.html?year=2006&week=[code] Les vulnérabilités ont été confirmées en version 3.2.9. Les autres versions pourraient également être affectées. Solutions : Editez le code source pour s'assurer que l'entrée est correctement filtrée. Vulnérabilité découverte par : r0t Référence : http://pridels.blogspot.com/2006/03/connect-daily-multiple-xss-vuln.html Veuillez noter : L'information, sur laquelle est basé ce bulletin Secunia, provient d'un tiers sans mention du contraire. Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.
|
SECURINFOS
|
|