|
|
|
|
| Архив новостей |
 |
|
|
|
|
|
|
 |
|
| Новостные сайты |
 |
|
|
|
|
|
|
|
|
| Безопасность |
| |
|
|
 |
21.01.2009 18:34 |
| |
Множественные уязвимости в Typo3 |
|
21 января, 2009
Программа: Typo3 версии до 4.0.10, 4.1.8 и 4.2.4
Опасность: Высокая
Наличие эксплоита: Нет
Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS нападение, внедриться в сессию пользователя, обойти некоторые ограничения безопасности и скомпрометировать целевую систему.
1.Уязвимость существует из-за неизвестной ошибки в модуле Workspace. Удаленный пользователь может выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.
2.Уязвимость существует из-за недостаточной обработки входных данных в тестовых сценариях в расширении ADOdb. Удаленный пользователь может выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.
3.Уязвимость существует из-за недостаточной обработки входных данных в имени файла и в самом файле в компоненте Indexed Search Engine. Удаленный пользователь может выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.
4.Уязвимость существует из-за того, что расширение Install tool использует недостаточную энтропию для генерации ключа шифрования.
5.Уязвимость существует в аутентификационной библиотеке из-за некорректной проверки сессионных токенов. Злоумышленник может внедриться в сессию целевого пользователя.
6.Уязвимость существует из-за недостаточной обработки входных данных в расширении Indexed Search Engine. Удаленный пользователь может внедрить и выполнить произвольные команды на системе с привилегиями Web сервера.
URL производителя: typo3.org
Решение: Установите последнюю версию 4.0.10, 4.1.8 или 4.2.4 с сайта производителя.
URL адреса: http://typo3.org/teams/security/security-bulletins/typo3-sa-2009-001/
|
|
|
|
|
| Новости по теме |
| |
|
|
|
|
|
Навигация по порталу: 
