Podatność CVE-2015-1040

Podatność CVE-2015-1040

Publikacja: 2015-01-15

Opis:

Multiple cross-site scripting (XSS) vulnerabilities in the administrative backend in BEdita 3.4.0 allow remote authenticated users to inject arbitrary web script or HTML via the (1) lrealname field in the editProfile form to index.php/home/profile; the (2) data[title] or (3) data[description] field in the addQuickItem form to index.php; the (4) "note text" field in the saveNote form to index.php/areas; or the (5) titleBEObject or (6) tagsArea field in the updateForm form to index.php/documents/view.

Typ:

CWE-79

(Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'))

CVSS2 => (AV:N/AC:M/Au:S/C:N/I:P/A:N)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
3.5/10	2.9/10	6.8/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Średnia	Jednorazowa
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Brak	Częściowy	Brak

Affected software
Bedita -> Bedita

Referencje:

https://github.com/bedita/bedita/issues/566

http://www.securityfocus.com/bid/71949

http://sroesemann.blogspot.de/2014/12/sroeadv-2014-10.html

http://seclists.org/oss-sec/2015/q1/115

http://seclists.org/fulldisclosure/2015/Jan/16

http://packetstormsecurity.com/files/129865/CMS-BEdita-3.4.0-Cross-Site-Scripting.html

Copyright 2024, cxsecurity.com