Sécurité informatique

SECURINFOS.INFO - Veille en sécurité informatique

Web Wiz Forum : Vulnérabilités Diverses

28/07/2008 14H32
Référence Secunia : SA31281 
Date de publication : 2008-07-28

Risque : Non Critique. Niveau 2 sur 5.
Impact : Cross Site Scripting
Lieu : A distance


Solutions :
Non corrigée


Produit :
Web Wiz Forums 9.x


Description :
CSDT a rapporté quelques vulnérabilités dans Web Wiz Forum, qui pourraient être exploitées par des personnes malintentionnées pour conduire des attaques par requête inter-site forgée et cross-site scripting.

1) L'entrée passée au paramètre "mode" dans admin_group_details.asp et admin_category_details.asp n'est pas correctement filtrée avant d'être retournée à un utilisateur. Cela pourrait être exploité pour exécuter du code HTML et de script arbitraire dans une session de navigation d'un utilisateur dans le contexte d'un site affecté.

2) L'application permet aux utilisateurs de réaliser certaines actions via des requêtes HTTP sans réaliser de vérifications de validité pour vérifier la requête. Cela pourrait être exploité à par ex. changer le mot de passe administrateur en incitant un administrateur authentifié à visiter un site malicieux.

Les vulnérabilités sont rapportées en version 9.5. Les autres versions pourraient également être affectées.


Solutions :
Filtrer les caractères et séquences de caractères malicieux en utilisant un proxy web.

Ne pas consulter des sites web non-fiables ou suivre des liens non-fiables en étant authentifié à l'application.


Vulnérabilité découverte par :

CSDT

Référence :
http://depo2.nm.ru/WebWiz_Forum_v9.5_CSRF.txt
http://depo2.nm.ru/WebWiz_Forum_v9.5_XSS.txt
http://depo2.nm.ru/WebWiz_Forum_v9.5_XSS2.txt




Veuillez noter : L'information sur laquelle est basée ce bulletin Secunia provient d'un tiers sans mention du contraire. Secunia collecte, valide, et vérifie tout les rapports de vulnérabilité issus de la recherche en sécurité de groupes, distributeurs ou autres.

Les noms, marques et enseignes cités sur ce site sont la propriété de leurs déposants respectifs.