漏洞信息详情

Xoops 跨站脚本漏洞

• CNNVD编号：CNNVD-201204-419
• 危害等级： 中危
  
• CVE编号： CVE-2012-0984
• 漏洞类型： 跨站脚本
• 发布时间： 2012-04-20
• 威胁类型： 远程
• 更新时间： 2014-09-15
• 厂        商： xoops
• 漏洞来源：

漏洞简介

XOOPS（eXtensible Object Oriented Portal System）是XOOPS团队开发维护的一套开源的基于PHP和MySQL的内容管理系统。该系统可用于创建各种网络社区。

XOOPS 2.5.4及之前版本中存在跨站脚本漏洞，该漏洞源于modules/pm/pmlite.php脚本没有充分过滤‘to_userid’参数，class/xoopseditor/tinymce/tinymce/jscripts/tiny_mce/plugins/xoopsimagemanager/xoopsimagebrowser.php脚本没有充分过滤‘current_file’、‘imgcat_id’、‘target’参数。远程攻击者可利用该漏洞注入任意Web脚本或HTML。

漏洞公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://xoops.org/modules/news/article.php?storyid=6284

参考网址

来源:BUGTRAQ

链接:http://archives.neohapsis.com/archives/bugtraq/2012-04/0128.HTML

来源:BID

链接:http://www.securityfocus.com/bid/53143

来源:www.htbridge.com

链接:https://www.htbridge.com/advisory/multiple_vulnerabilities_in_xoops.HTML

来源:xoops.org

链接:http://xoops.org/modules/news/article.php?storyid=6284

来源:EXPLOIT-DB

链接:http://www.exploit-db.com/exploits/18753

来源:OSVDB

链接:http://osvdb.org/81213

来源:SECUNIA

链接:http://secunia.com/advisories/48887

来源:packetstormsecurity.org

链接:http://packetstormsecurity.org/files/111958/XOOPS-2.5.4-Cross-Site-Scripting.HTML

来源:XF

链接:http://xforce.iss.net/xforce/xfdb/75024

来源:OSVDB

链接:http://osvdb.org/81212

来源:SECUNIA

链接:http://secunia.com/advisories/48887

受影响实体

• Xoops Xoops:2.5.1  
• Xoops Xoops:2.5.2:Rc  
• Xoops Xoops:2.5.2  
• Xoops Xoops:2.5.3  
• Xoops Xoops:2.5.4  

补丁

• xoops-2.5.5
• xoops-2.5.5