XSS- und CSRF-Angriff sind möglich

Zwei Sicherheitslücken in PyForum entdeckt

Über eine Reihe von Sicherheitslücken können Angreifer beliebigen Scriptcode in die Webbrowser von PyForum Benutzern einspeisen.

Laut einer Meldung von Security Reason treten die Sicherheitslücken in Version 1.0.3 von PyForum auf. Andere Versionen der Anwendung sind unter Umständen ebenfalls anfällig. Bei PyForum handelt es sich um eine komplett in Python entwickelte Bulletin-Bord-Anwendung, die betriebssystemsunabhängig zum Einsatz kommt.

Über eine Schwachstelle bei der Verarbeitung von BBcode im Modul „moduls.parser“ können Angreifer per „Cross-Site-Scripting“-(XSS)-Angriff beliebigen Scriptcode über die Parameter „img“ und „tag“ einspeisen. Beim zweiten Angriff handelt es sich um eine „Cross Site Request Forgery“ (CSRF), die aufgrund des generellen Anwendungsdesigns von PyForum möglich ist. Ein Update oder Patch liegt nicht vor. Es wird empfohlen, eine andere Anwendung zu verwenden. (vgw)