PT-2013-75: Межсайтовое выполнение сценариев в Nuxeo Platform

Уязвимое ПО

Nuxeo Platform

Версия: 5.5.0, 5.6.0, 5.8.0, 5.9.0 и более ранняя

Ссылка:
http://www.nuxeo.com/

Рейтинг опасности

Уровень опасности: Средний
Воздействие: Межсайтовое выполнение сценариев
Вектор атаки: Удаленный

CVSS v2:
Base Score: 4.3
Vector: (AV:N/AC:M/Au:N/C:N/I:P/A:N)

CVE: отсутствует

Описание программы

Nuxeo Platform – система управления веб-проектами

Описание уязвимости

Специалисты Исследовательского центра Positive Research компании Positive Technologies обнаружили уязвимость "Межсайтовое выполнение сценариев" в Nuxeo Platform.

Межсайтовое выполнение сценариев на странице login.jsp позволяет злоумышленникам, действующим удаленно, внедрить в страницу, обрабатываемую браузером пользователя, произвольные HTML-теги, включая сценарии на языке JavaScript и др.

Решение

Установите последнюю версию приложения

Статус уведомления

12.12.2013 - Производителю отправлены детали уязвимостей
12.12.2013 - Производитель выпустил исправление
26.12.2014 - Публикация уязвимости

Благодарности

Уязвимость была обнаружена с помощью системы анализа исходных кодов Positive Technologies Application Inspector

Ссылки

http://www.securitylab.ru/lab/PT-2013-75
https://jira.nuxeo.com/browse/NXP-13393

Список отчетов о ранее обнаруженных уязвимостях Positive Research:

http://www.ptsecurity.ru/lab/advisory/
http://www.securitylab.ru/lab/

Уязвимости