XSS Minime.

gwaegwae Member
janvier 2012 modifié dans Bogues
Bonjour,


Je mettais un blog en place sous pluxml (première fois :') ), et j'ai voulu spoofer le fichier version, pour mettre un faux numéro de version.


Donc tout de suite j'ai eu la page pour faire la mise à jour.
Sauf que si on met du JS dans le fichier version, on a le droit à une belle XSS.


On s'en tape un peu, vu que pour exploiter ça il y a besoin des droits d'écriture pour modifier version, et donc c'est pas le fait de faire une XSS qui va intéresser l'attaquant, mais elle existe quand même...


Tout simplement, pour corriger, dans update/index.php:86
- <div style="margin-left:200px"><h2><?php echo L_UPDATE_TITLE.' '.$plxUpdater->newVersion ?></h2></div>

+  <div style="margin-left:200px"><h2><?php echo htmlspecialchars(L_UPDATE_TITLE.' '.$plxUpdater->newVersion) ?></h2></div>

Cordialement.

Réponses

  • StéphaneStéphane Member, Former PluXml Project Manager
    Merci pour le signalement.
    Je rajouterai en plus que l'accès au fichier version est interdit grâce aux directives dans le fichier .htaccess

    Consultant PluXml

    Ancien responsable et développeur de PluXml (2010 à 2018)

  • gwaegwae Member
    Oui, ça peut être pas mal, ça évite qu'un éventuel attaquant puisse avoir la version trop simplement.

    Merci pour votre projet, en tout cas, et bonne continuation (-;
Connectez-vous ou Inscrivez-vous pour répondre.