Nach einem Bericht von Secunia treten die Sicherheitslücken in allen aktuellen Versionen von BookMine auf. SQL-Einspeisungen sind aufgrund der mangelhaften Überprüfung von Eingaben an den Parameter „events_id“ (Datei: „events.cfm“) möglich. Über eine ähnliche Sicherheitslücke können Angreifer über die Parameter „gallery“ und „search_string“ (Datei: „search.cfm“) per Cross-Site-Scripting beliebigen HTML- und Scriptcode in die Browsersitzung anderer Benutzer einspeisen. Ein Patch liegt bisher nicht vor. (vgw)
Mehrere Sicherheitslücken in BookMine entdeckt
30.07.2008
Über eine Reihe von Schwachstellen in BookMine können Angreifer SQL-Einspeisungs- und Cross-Site-Scripting-Angriffe ausführen.