|
Здравствуйте 3APA3A!
Сообщаю вам о Cross-Site Scripting уязвимости Cumulus
для Drupal.
Данная XSS уязвимость идентична XSS уязвимости в
WP-Cumulus, т.к. приложение использует tagcloud.swf
разработанный автором WP-Cumulus. Про миллионы флешек
tagcloud.swf уязвимых к XSS атакам я упоминал в своей
статье XSS уязвимости в 34 миллионах флеш файлах
(http://websecurity.com.ua/3842/).
XSS (WASC-08):
http://site/sites/all/modules/cumulus/cumulus.
swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='javascript:
alert(document.cookie)'+style='font-size:
+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E
Код исполнится при клике. Это Strictly social XSS.
Также можно провести HTML Injection атаку подобно
WP-Cumulus.
Уязвимы Cumulus 6.x-1.4 и предыдущие версии и 5.x-1.1 и
предыдущие версии.
Дополнительная информация о данной уязвимости у меня на
сайте:
http://websecurity.com.ua/4954/
Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua
|
