CVE-2012-3805

ملخص

ثغرات متعددة من نوع البرمجة النصية عبر المواقع (XSS) في دالة getAllPassedParams في system/functions.php في Kajona قبل الإصدار 3.4.2 تسمح للمهاجمين عن بُعد بحقن أي نصوص برمجية ويب أو HTML عبر المعامل (1) absender_name أو (2) absender_email أو (3) absender_nachricht إلى صفحة المحتوى؛ والمعامل (4) comment_name أو (5) comment_subject أو (6) comment_message إلى وحدة postacomment؛ والمعامل (7) module إلى index.php؛ والمعامل (8) action إلى صفحة تسجيل دخول المسؤول؛ والمعامل (9) pv أو (10) pe في إجراء قائمة إلى وحدة المستخدم؛ والمعامل (11) user_username أو (12) user_email أو (13) user_forename أو (14) user_name أو (15) user_street أو (16) user_postal أو (17) user_city أو (18) user_tel أو (19) user_mobil في إجراء newUser إلى وحدة المستخدم؛ والمعامل (20) group_name أو (21) group_desc في إجراء groupNew إلى وحدة المستخدم؛ والمعامل (22) name أو (23) browsername أو (24) seostring أو (25) keywords أو (26) folder_id في إجراء newPage إلى وحدة الصفحات؛ والمعامل (27) element_name أو (28) element_cachetime في إجراء newElement في وحدة الصفحات؛ والمعامل (29) aspect_name في إجراء newAspect في وحدة النظام؛ والمعامل (30) filemanager_name أو (31) filemanager_path أو (32) filemanager_upload_filter أو (33) filemanager_view_filter في إجراء NewRepo إلى وحدة filemanager؛ أو المعامل (34) archive_title أو (35) archive_path في إجراء newArchive إلى وحدة التنزيلات. ملاحظة: بعض هذه التفاصيل مأخوذة من معلومات طرف ثالث.

المصادر

• Kajona - 'getAllPassedParams()' Multiple Cross-Site Scripting Vulnerabilitiesاستغلال

  High-Tech Bridge SA · php · 11‏/07‏/2012