CVE-2009-4250
Açıklama
CutePHP CuteNews 1.4.6 ve 8b öncesindeki UTF-8 CuteNews sürümlerinde bulunan birden fazla siteler arası betik çalıştırma (XSS) zafiyeti, uzaktaki saldırganların şunlar aracılığıyla rastgele web betiği veya HTML enjekte etmesine olanak tanır: (1) register.php dosyasına gönderilen result parametresi; (2) search.php dosyasına gönderilen user parametresi; (3) cat_msg, (4) source_msg, (5) postponed_selected, (6) unapproved_selected ve (7) index.php dosyasının editnews modülündeki bir list eylemine gönderilen news_per_page parametreleri; ve (8) haber yorumlarındaki link etiketi. NOT: Bazı zafiyetler register_globals özelliğinin etkinleştirilmesini ve/veya magic_quotes_gpc özelliğinin devre dışı bırakılmasını gerektirir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cutephp cutenews | 1.4.6 | — |
| korn19 utf-8_cutenews | v ≤ 8, 2, 3, 4, 5, 6, 7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.