Sécurité informatique

SECURINFOS.INFO - Bulletins de sécurité informatique, Alertes et Protection

IBM WebSphere uddigui/navigateTree.do : Cross-Site Scripting et Requête Forgée

31/10/2007 14H06
Référence Secunia : SA27448 
Date de publication : 2007-10-31

Risque : Moyennement Critique. Niveau 3 sur 5.
Impact : Cross Site Scripting
Lieu : A distance


Solutions :
Non corrigée


Produit :
IBM WebSphere Application Server 6.0.x
IBM WebSphere Application Server 6.1.x


Description :
IBM a reconnu quelques vulnérabilités dans IBM WebSphere, qui pourraient être exploitées par des personnes malintentionnées pour conduire des attaques cross-site scripting et des attaques par requête forgée.

L'entrée passée au paramètre "keyField", "nameField", "valueField", et "frameReturn" dans uddigui/navigateTree.do du UDDI user console n'est pas correctement filtrée avant d'être utilisée pour réaliser certaines actions ou being retourné à un utilisateur. Cela pourrait être exploité pour exécuter du code arbitraire HTML et du code de script dans un navigateur d'un utilisateur section dans le contexte de a vulnérable website ou pour réaliser certaines actions par ex. en poussant un utilisateur à visiter un site web malicieux.


Solutions :
Un correctif est scheduled pour inclusion dans WebSphere Application Server 6.1.0 fix pack 13 (6.1.0.13).


Vulnérabilité découverte par :

Rapportée par l'éditeur.

Référence :
http://www-1.ibm.com/support/docview.wss?uid=swg1PK50245




Veuillez noter : L'information sur laquelle ce bulletin Secunia est basé provient d'un tiers sauf mention du contraire. Secunia collecte, valide, et vérifie tout les rapports de vulnérabilité issus de la recherche en sécurité de groupes, distributeurs ou autres.

Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.