GForge account/verify.phpのconfirm_hashパラメーターのXSS

medium Nessus プラグイン ID 26927

Language:

概要

リモートWebサーバーに、クロスサイトスクリプティング脆弱性の影響を受けるPHPスクリプトが含まれています。

説明

リモートホストは、共同ソフトウェア開発のWebベースのプロジェクトであるGForgeを実行しています。

リモートホストにインストールされているGForgeのバージョンは、動的出力を生成するために使用する前に、「account/verify.php」スクリプトの「confirm_hash」パラメーターへのユーザー指定入力をサニタイズできません。未認証のリモートの攻撃者がこの問題を利用して、任意のHTMLまたはスクリプトコードをユーザーのブラウザに注入し、影響を受けるサイトのセキュリティコンテキスト内で実行できる可能性があります。

このバージョンには、特にリモートホストでGForgeのDebianビルドが実行されている場合に、SQLインジェクションおよびクロスサイトスクリプティングに関連するいくつかの他の脆弱性がある可能性があります。Nessusは、これらの問題をチェックしていません。