Boletines de Vulnerabilidades

int(2628)

Cross-Site Scripting en Drupal
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Aumento de la visibilidad
Dificultad	Avanzado
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio exotico
Información sobre el sistema
Propiedad	Valor
Fabricante afectado	GNU/Linux
Software afectado	Drupal 4.6 < 4.6.9 Drupal 4.7 < 4.7.3
Descripción
Se ha descubierto una vulnerabilidad en Drupal 4.6 versión anterior a 4.6.9, y 4.7 versión anterior a 4.7.3. La vulnerabilidad reside en que no se valida correctamente la entrada del usuario en "user.module". Un atacante remoto podría inyectar código HTML o Web script arbitrario y realizar ataques tipo Cross-Site Scripting mediante el parámetro "msg".
Solución
Actualización de software Debian Debian Linux 3.1 Source http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3-6.1sarge3.dsc http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3-6.1sarge3.diff.gz http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3.orig.tar.gz Architecture independent http://security.debian.org/pool/updates/main/d/drupal/drupal_4.5.3-6.1sarge3_all.deb
Identificadores estándar
Propiedad	Valor
CVE	CVE-2006-4002
BID
Recursos adicionales
Debian Security Advisory (DSA 1147-1) http://lists.debian.org/debian-security-announce/debian-security-announce-2006/msg00236.html