SicherheitslĂĽcken in PostNuke
Das Open-Source-Content-Management-System PostNuke enthält zwei Sicherheitslücken.
Die Sicherheitsspezialisten des GulfTech Security Research Team (GSRT) haben zwei Sicherheitslücken im Open-Source-Content-Management-System PostNuke gemeldet. Demnach ist das members_list-Modul anfällig für SQL-Injection-Angriffe, da es eine Variable nicht ausreichend filtert.
Des Weiteren kann ein Angreifer das Download-Modul für Cross-Site-Scripting-Angriffe (XSS) ausnutzen, um eigenen Scripting-Code auf Systemen von Benutzern in deren Kontext auszuführen. Betroffen sind Version 0.726 und vorhergehende. Ein Update von PostNuke steht zwar zur Verfügung, allerdings ist darin nur die SQL-Injection-Schwachstelle beseitigt. Die XSS-Lücke wollen die Entwickler erst in einem der nächsten Releases stopfen, da es mit der Lücke nicht möglich sei größeren Schaden anzurichten.
Siehe dazu auch: (dab)
- Security Advisory von GSRT
- SQL-Injection auf heise Security
- Cross-Site-Scripting auf heise Security
