Bugzilla セキュリティアドバイザリによる報告：

Bugzilla で、次のセキュリティの問題を発見しました：

- アカウントのなりすまし：ユーザーが新しいアカウントを作成するとき、Bugzilla は、非 ASCII 文字を含むメールアドレスを正しく拒否しません。これを利用して、他のユーザーアカウントになりすまされる可能性があります。
こうしたメールアドレスは、他の有効なメールアドレスと同一に見える可能性があり、攻撃者が、他のユーザーを混乱させ、アクセス権を持っていないはずのバグを追加させようとする可能性があります。

- クロスサイトリクエスト偽造：Content-Type ヘッダーの検証の欠落により、POST リクエストを jsonrpc.cgi に対して行うときの潜在的な CSRF の脆弱性が発見されました。ユーザーが何らかの悪意のある JS コードが埋め込まれた HTML ページにアクセスした場合、攻撃者が、JSON-RPC API を使用することで、被害者のアカウントに代わってリモートの Bugzilla インストールに変更を加える可能性があります。この脆弱性を機能させるためには、ユーザーがターゲットサイトにすでにログインしている必要があります。

すべての影響を受けるインストールは、ただちにアップグレードすることが推奨されています。

検出

FreeBSD : bugzilla -- 複数の脆弱性（309542b5-50b9-11e1-b0d8-00151735203a）

medium Nessus プラグイン ID 57852

変更ログが見つかりません