Podatność CVE-2010-3978
Publikacja: 2010-11-17   Modyfikacja: 2012-02-13

Opis:
Spree 0.11.x before 0.11.2 and 0.30.x before 0.30.0 exchanges data using JavaScript Object Notation (JSON) without a mechanism for validating requests, which allows remote attackers to obtain sensitive information via vectors involving (1) admin/products.json, (2) admin/users.json, or (3) admin/overview/get_report_data, related to a "JSON hijacking" issue.

W naszej bazie, znaleźliśmy następujące noty dla tego CVE:
Tytuł
Autor
Data
Med.
Spree e-commerce JSON Hijacking Vulnerabilities
Rodrigo Branco
20.11.2010

Typ:

CWE-200

 (Information Exposure)

CVSS2 => (AV:N/AC:L/Au:N/C:P/I:N/A:N)

Ogólna skala CVSS
Znaczenie
Łatwość wykorzystania
5/10
2.9/10
10/10
Wymagany dostęp
Złożoność ataku
Autoryzacja
Zdalny
Niska
Nie wymagana
Wpływ na poufność
Wpływ na integralność
Wpływ na dostępność
Częściowy
Brak
Brak
Affected software
Spreecommerce -> Spree 

 Referencje:
http://spreecommerce.com/blog/2010/11/02/json-hijacking-vulnerability/
http://spreecommerce.com/blog/2010/11/09/spree-0-30-0-released/
http://twitter.com/conviso/statuses/29555076248
http://www.conviso.com.br/json-hijacking-vulnerability/
http://www.conviso.com.br/security-advisory-spree-e-commerce-json-v-0-11x/
http://www.securityfocus.com/archive/1/514674/100/0/threaded
https://github.com/railsdog/spree/commit/19944bd999c310d9b10d16a41f48ebac97dc4fac
https://github.com/railsdog/spree/commit/d881b2bb610ea33e2364ff16feb8e702dfeda135
Copyright 2024, cxsecurity.com

 

Back to Top