GLSA 200803-04: Mantis: Cross-Site Scripting

http://security.gentoo.org/

Опасность:	низкая
Заголовок:	Mantis: Cross-Site Scripting
Дата:	03.03.2008
Ошибки:	#203791
ID:	200803-04

Сводка

A persistent Cross-Site Scripting vulnerability has been discovered in Mantis.

Назначение

Mantis is a web-based bug tracking system.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
www-apps/mantisbt	< 1.0.8-r1	>= 1.0.8-r1	All supported architectures

Описание

seiji reported that the filename for the uploaded file in bug_report.php is not properly sanitised before being stored.

Воздействие

A remote attacker could upload a file with a specially crafted to a bug report, resulting in the execution of arbitrary HTML and script code within the context of the users's browser. Note that this vulnerability is only exploitable by authenticated users.

Обход

There is no known workaround at this time.

Решение

All Mantis users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=www-apps/mantisbt-1.0.8-r1"

Ссылки

CVE-2007-6611

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200803-04.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.