CVE-2006-2635

Резюме

Множественные уязвимости межсайтового скриптинга (XSS) в Tikiwiki (также известном как Tiki CMS/Groupware) 1.9.x позволяют удалённым злоумышленникам внедрять произвольный веб-скрипт или HTML через некорректно сформированные вложенные HTML-теги, такие как "<scr<script>ipt>", в параметрах (1) offset и (2) days в (a) tiki-lastchanges.php, параметрах (3) find и (4) offset в (b) tiki-orphan_pages.php, параметрах (5) offset и (6) initial в (c) tiki-listpages.php и в (7) неуказанном поле в (d) tiki-remind_password.php; а также позволяют удалённым аутентифицированным пользователям с правами администратора внедрять произвольный веб-скрипт или HTML через (8) неуказанное поле в действии metatags в (e) tiki-admin.php, параметр (9) offset в (f) tiki-admin_rssmodules.php, параметры (10) offset и (11) max в (g) tiki-syslog.php, параметр (12) numrows в (h) tiki-adminusers.php, (13) неуказанное поле в (i) tiki-adminusers.php, (14) неуказанное поле в (j) tiki-admin_hotwords.php, неуказанные поля в (15) «Назначить новый модуль» и (16) «Создать новый пользовательский модуль» в (k) tiki-admin_modules.php, (17) неуказанное поле в «Добавить уведомление» в (l) tiki-admin_notifications.php, параметр (18) offset в (m) tiki-admin_notifications.php, поля (19) Name и (20) Dsn в (o) tiki-admin_dsn.php, параметр (21) offset в (p) tiki-admin_content_templates.php, (22) неуказанное поле в «Создать новый шаблон» в (q) tiki-admin_content_templates.php и параметр (23) offset в (r) tiki-admin_chat.php.

• TikiWiki 1.9 - 'tiki-lastchanges.php' Multiple Cross-Site Scripting VulnerabilitiesЭксплойт