Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

The Classified Ad System default.asp : Cross-Site Scripting et Injection SQL

09/12/2006 08H58
Référence Secunia : SA23289  
Date de publication : 2006-12-08

Risque : Moyennement Critique. Niveau 3 sur 5.
Impact : Cross Site Scripting, Manipulation de données
Lieu : A distance


Solutions :
Non corrigée


Produit :
The Classified Ad System

Référence CVE :
CVE-2006-6349


Description :
Laurent Gaffié et Benjamin Mossé ont rapporté quelques vulnérabilités dans The Classifieds Ad System, qui pourrait être exploitée par des personnes malintentionnées conduire injection SQL et vulnérabilités cross-site scripting.

1) L'entrée passée au paramètre "main" et "cat" dans default.asp n'est pas correctement filtrée avant d'être utilisée dans une requête SQL. Cela pourrait être exploité pour manipuler les interrogations SQL en injectant du code SQL arbitraire.

2) L'entrée passée au paramètre "main" et "cat" dans default.asp n'est pas correctement filtrée avant d'être retournée à un utilisateur. Cela pourrait être exploité pour exécuter du code HTML et de script arbitraire dans une session de navigation d'un utilisateur dans le contexte d'un site affecté.


Solutions :
Editez le code source pour s'assurer que l'entrée est correctement filtrée.

Vulnérabilité découverte par :

Laurent Gaffié et Benjamin Mossé






Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.