SECURinfos.INFO - Bulletins de sécurité informatique, Alertes et Protection Référence Secunia : SA22365 Risque : Relativement faible. Niveau 2 sur 5.  Impact : Cross Site Scripting, Manipulation de données, Exposition de données sensibles Lieu : Depuis le réseau local Solutions : Non corrigée Produit : Call Center Software 0.x Description : Mayhemic Labs a découvert quelques vulnérabilités dans Call-Center-Software, qui pourrait être exploitée par des utilisateurs malicieux pour conduire des attaques par insertion de script, divulguer des informations sensibles, et réaliser certaines actions avec des privilèges plus élevés, et par des personnes malintentionnées pour conduire des attaques SQL. 1) L'entrée passée à plusieurs paramètres en ajoutant ou éditant un appel n'est pas correctement filtrée avant d'être utilisée. Cela pourrait être exploité pour insérer du code HTML et arbitraires, qui sera exécuté dans une session de navigation d'un autre utilisateur ou administrateur dans le contexte d'un site affecté. 2) L'entrée passée au paramètre "username" et "password" paramètres de champs de formulaire n'est pas correctement filtrée avant d'être utilisée dans une requête SQL. Cela pourrait être exploité pour manipuler les interrogations SQL en injectant du code SQL arbitraire. L'exploitation de ce problème pourrait accorder l'accès à la section de gestion, mais n'est possible seulement si "magic_quotes_gpc" est désactivé. 3) Une erreur existe dans le processus d'authentification de edit_user.php. Cela pourrait être exploité pour divulguer et manipuler les paramè,tres d'autres utilisateurs (par ex. divulguer ou changer le mot de passe). Les vulnérabilités ont été confirmées en version 0.93. Les autres versions pourraient également être affectées. Solutions : N'authorisez que des utilisateurs de confiance à accéder à l'application. Vulnérabilité découverte par : Mayhemic Labs Référence : http://www.mayhemiclabs.com/advisories/MHL-2006-002.txt Veuillez noter : L'information sur laquelle est basé ce bulletin Secunia provient d'un tiers sans mention du contraire. Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.
|
SECURINFOS
|
|