バージョンによると、Mnemoのリモートインストールは、「templates/common-footer.inc」でJavaScriptによって親フレームのページタイトルを設定する際に、ユーザー指定の入力を完全にサニタイズできません。攻撃者がこの欠陥を利用して、任意のHTMLおよびスクリプトコードをユーザーのブラウザに注入し、影響を受けるWebサイトのコンテキスト内で実行させることがあります。これにより、セッションクッキーが盗まれたり、同様の攻撃が発生したりします。

検出

Horde Mnemo common-footer.incの親フレームページのXSS

medium Nessus プラグイン ID 18134

変更ログが見つかりません