CVE-2011-4670

Zusammenfassung

Mehrere Cross-Site-Scripting-Schwachstellen (XSS) in vTiger CRM 5.2.1 und früheren Versionen ermöglichen es entfernten Angreifern, beliebigen Web-Skript- oder HTML-Code über den (1) viewname-Parameter in einer CalendarAjax-Aktion, den (2) activity_mode-Parameter in einer DetailView-Aktion, die (3) contact_id- und (4) parent_id-Parameter in einer EditView-Aktion, die (5) day-, (6) month-, (7) subtab-, (8) view- und (9) viewOption-Parameter in der index-Aktion für das Calendar-Modul; den (10) start-Parameter in der ListView-Aktion für das Calendar-Modul; die (11) return_action- und (12) return_module-Parameter in der EditView-Aktion, und den (13) query-Parameter in einer index-Aktion für das Campaigns-Modul; die (14) return_url- und (15) workflow_id-Parameter in einer editworkflow-Aktion für das com_vtiger_workflow-Modul; den (16) display_view-Parameter in einer index-Aktion für das Dashboard-Modul; die (17) closingdate_end-, (18) closingdate_start-, (19) date_closed-, (20) owner-, (21) leadsource-, (22) sales_stage- und (23) type-Parameter in einer ListView-Aktion für das Potentials-Modul; den (24) folderid-Parameter in einer SaveandRun-Aktion für das Reports-Modul; die (25) returnaction- und (26) groupId-Parameter in einer createnewgroup-Aktion, die (27) mode- und (28) parent-Parameter in einer createrole-Aktion, (29) src_module in einer ModuleManager-Aktion, die (30) mode- und (31) profile_id-Parameter in einer profilePrivileges-Aktion, und den (32) roleid-Parameter in einer RoleDetailView für das Settings-Modul; und den (33) action-Parameter für das Home-Modul und den (34) module-Parameter für phprint.php einzuschleusen.

• vTiger CRM 5.2.1 - 'index.php' Multiple Cross-Site Scripting Vulnerabilities (1)