vBulletin自定义BBCode标签脚本注入漏洞

受影响系统:

VBulletin VBulletin 4.0.3
VBulletin VBulletin 3.8.4 PL2

描述:

vBulletin是一款开放源代码的PHP论坛程序。

vBulletin在创建使用自定义标签的内容时没有正确地解析BBCode,这允许攻击者注入任意HTML和脚本代码,当查看恶意数据时就会在用户浏览器会话中执行所注入的代码。

<*来源:MaXe
  
  链接:
http://secunia.com/advisories/39662/
        http://forum.intern0t.net/intern0t-advisories/2528-vbulletin-3-8-4-pl2-4-0-3-pl1-insecure-custom-bbcode.html
*>

测试方法:
以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负!
[BadTag]x:x’ onerror=alert(0) foo='[/BadTag]
[BadTag2=fail onmouseover=alert(0)]Link[/BadTag2]

建议:

 

厂商补丁:

VBulletin
———
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

http://www.vbulletin.com/

发表评论?

0 条评论。

发表评论