CVE-2006-2635

ملخص

ثغرات متعددة من نوع البرمجة النصية عبر المواقع (XSS) في Tikiwiki (المعروف أيضًا باسم Tiki CMS/Groupware) 1.9.x تسمح للمهاجمين عن بُعد بحقن نصوص برمجية ويب أو HTML عشوائية عبر وسوم HTML متداخلة مشوهة مثل "<scr<script>ipt>" في المعاملين (1) offset و(2) days في (a) tiki-lastchanges.php، ومعاملي (3) find و(4) offset في (b) tiki-orphan_pages.php، ومعاملي (5) offset و(6) initial في (c) tiki-listpages.php، و(7) حقل غير محدد في (d) tiki-remind_password.php؛ كما تسمح لمستخدمين عن بُعد مصادق عليهم ويمتلكون صلاحيات إدارية بحقن نصوص برمجية ويب أو HTML عشوائية عبر (8) حقل غير محدد في إجراء metatags في (e) tiki-admin.php، ومعامل (9) offset في (f) tiki-admin_rssmodules.php، ومعاملي (10) offset و(11) max في (g) tiki-syslog.php، ومعامل (12) numrows في (h) tiki-adminusers.php، و(13) حقل غير محدد في (i) tiki-adminusers.php، و(14) حقل غير محدد في (j) tiki-admin_hotwords.php، وحقول غير محددة في (15) "Assign new module" و(16) "Create new user module" في (k) tiki-admin_modules.php، و(17) حقل غير محدد في "Add notification" في (l) tiki-admin_notifications.php، ومعامل (18) offset في (m) tiki-admin_notifications.php، والحقلين (19) Name و(20) Dsn في (o) tiki-admin_dsn.php، ومعامل (21) offset في (p) tiki-admin_content_templates.php، و(22) حقل غير محدد في "Create new template" في (q) tiki-admin_content_templates.php، ومعامل (23) offset في (r) tiki-admin_chat.php.

المصادر

• TikiWiki 1.9 - 'tiki-lastchanges.php' Multiple Cross-Site Scripting Vulnerabilitiesاستغلال

  Blwood · php · 29‏/05‏/2006