Mehrere Sicherheitslücken bedrohen XRMS CRM
Eine Reihe von Schwachstellen im Customer Relationshop Management System XRMS erlauben das Ausspähen von Daten sowie die Einspeisung von Code per XSS-Angriff.
Nach einer Meldung von Secunia treten die Sicherheitslücken in Version 1.99.2 von XRMS CRM auf. Andere Versionen der CRM-Software sind unter Umständen ebenfalls betroffen. Durch den Aufruf von „tests/info.php“ können Angreifer sich Informationen über die PHP- und Systemkonfiguration a la „phpinfo()“ verschaffen. Dieses Script sollte entfernt werden. Die zweite Sicherheitslücke entsteht durch die mangelhafte Bereinigung von Eingaben an den Parameter „msg“ in der Datei „login.php“. Durch gezielte Manipulation dieses Parameters können Angreifer beliebigen HTML- und Scriptcode in die Browsersitzung anderer XRMS CRM Benutzer einspeisen. Ein Patch stand zum Redaktionsschluss noch nicht zur Verfügung. (vgw)