Cross-Site-Scripting gegen JSPWiki möglich

Laut einer Meldung der Sicherheitsexperten von Secunia wurden die Sicherheitslücken in JSKWiki vor der aktuellen Version 2.4.104 nachgewiesen. Die Schwachstellen entstehen durch eine Reihe von fehlerhaften Überprüfungen und Bereinigungen von Benutzereingaben. Betroffen sind folgende Dateien und Parameter:

• „NewGroup.jsp“: “group” und “members”

• “Edit.jsp“: „edittime“

• “Comment.jsp“: „edittime“, “author” und “link”

• “UserPreferences.jsp“ und „Login.jsp“: „loginname“, „wikiname“, „fullname“ und „email“

• „Diff.jsp“: „r1“ und „r2“

• „Login.jsp“: „redirect“

• „PageInfo.jsp“: „changenote“

Zudem ermöglicht ein Fehler in der Verarbeitung des Version Parameters das Auslesen des kompletten Installationspfads von JSPWiki. Die Sicherheitslücken werden in der neuesten Version 2.4.104 von PHPWiki geschlossen. (vgw)

Sie interessieren sich für IT-Security? Über aktuelle Sicherheitslücken informieren Sie die Security-Reports von tecCHANNEL in Kooperation mit Secunia. Sie können diesen Dienst auch als kostenlosen Newsletter oder als tägliche tecCHANNEL Security Summary abonnieren. Premium-Kunden haben zudem die Möglichkeit, sich bei hoch kritischen Lücken per Security Alert informieren zu lassen.