CVE-2006-2635

Resumen

Múltiples vulnerabilidades de cross-site scripting (XSS) en Tikiwiki (también conocido como Tiki CMS/Groupware) 1.9.x permiten a atacantes remotos inyectar script web o HTML arbitrario a través de etiquetas HTML anidadas malformadas como "<scr<script>ipt>" en (1) los parámetros offset y (2) days en (a) tiki-lastchanges.php, los parámetros (3) find y (4) offset en (b) tiki-orphan_pages.php, los parámetros (5) offset y (6) initial en (c) tiki-listpages.php, y (7) un campo no especificado en (d) tiki-remind_password.php; y permiten a usuarios remotos autenticados con privilegios de administrador inyectar script web o HTML arbitrario a través de (8) un campo no especificado en una acción metatags en (e) tiki-admin.php, el parámetro (9) offset en (f) tiki-admin_rssmodules.php, los parámetros (10) offset y (11) max en (g) tiki-syslog.php, el parámetro (12) numrows en (h) tiki-adminusers.php, (13) un campo no especificado en (i) tiki-adminusers.php, (14) un campo no especificado en (j) tiki-admin_hotwords.php, campos no especificados en (15) "Assign new module" y (16) "Create new user module" en (k) tiki-admin_modules.php, (17) un campo no especificado en "Add notification" en (l) tiki-admin_notifications.php, (18) el parámetro offset en (m) tiki-admin_notifications.php, los campos (19) Name y (20) Dsn en (o) tiki-admin_dsn.php, el parámetro (21) offset en (p) tiki-admin_content_templates.php, (22) un campo no especificado en "Create new template" en (q) tiki-admin_content_templates.php, y el parámetro (23) offset en (r) tiki-admin_chat.php.

• TikiWiki 1.9 - 'tiki-lastchanges.php' Multiple Cross-Site Scripting VulnerabilitiesExploit