Cross-Site-Scripting Angriff gegen phpBB entdeckt

Über die aktuelle Version 2.0.21 von phpBB erlaubt das Versenden nach Nachrichten an Benutzer ohne gültige Authentifizierung per HTTP-Anforderung. Auf diese Weise lassen sich Nachrichten einspeisen, die Benutzer beispielsweise zum Besuch einer manipulierten Website auffordern. Sicherheitslücke Nummer 2: Eingaben an das Formularfeld "Message body" werden nicht ausreichend bereinigt, wenn eine Nachricht an einen nicht vorhandenen Benutzer versendet wird. Diese Schwachstelle lässt sich für einen XSS-Angriff gegen den Browser des Benutzers im Kontext der phpBB Website ausnutzen. Momentan existiert kein Patch gegen die Sicherheitslücken, die manuelle Bereinigung der Eingaben wird empfohlen. (twi)

Sie interessieren sich für IT-Security? Über aktuelle Sicherheitslücken informieren Sie die Security-Reports von tecCHANNEL in Kooperation mit Secunia. Sie können diesen Dienst auch als kostenlosen Newsletter oder als tägliche tecCHANNEL Security Summary abonnieren. Premium-Kunden haben zudem die Möglichkeit, sich bei hoch kritischen Lücken per Security Alert informieren zu lassen.