Uiga Business Portal SQL Injection and Script Insertion Vulnerabilities

Secunia ID	SA38430
Опубликовано	08 фев 2010
Опасность	Присваивается дистанционно доступным уязвимостям к DoS-атакам в службах FTP, HTTP и SMTP, а также уязвимостям, способным привести к нарушению безопасности системы, но требующим для этого участия человека. К данному уровню опасности также относятся допускающие нарушение безопасности компьютеров уязвимости в сетевых службах SMB, RPC, NFS, LPD и аналогичных (предназначенных для использования в локальных сетях).
Статус решения	Не исправлена
Уязвимые приложения	Uiga Business Portal
Источник атаки	Удалённый Эта уязвимость не требует от злоумышленника доступа к системе или локальной сети. В эту группу относятся уязвимости в службах, к которым есть доступ из интернета (например, HTTP, HTTPS, SMTP). В неё также входят уязвимости в клиентских приложениях, используемых в интернете, и уязвимости, с высокой вероятностью позволяющие обманом вовлечь добросовестного пользователя в совершение неких действий.
Последствия	Cross-Site Scripting Cross-Site Scripting (XSS) позволяет злоумышленникам манипулировать содержанием и действиями интернет-приложений в пользовательском браузере без взлома самих сайтов. К этой же категории относятся связанные с XSS уязвимости, включая Script Insertion и Cross-Site Request Forgery. Уязвимости Cross-Site Scripting часто используются против определенных пользователей веб-сайтов для кражи их учетных записей или организации атак от чужого имени. Манипулирование данными Уязвимость позволяет пользователю либо удалённому атакующему манипулировать локальными данными системы без возможности получения более высоких привилегий или доступа к системе. Чаще всего такие уязвимости используют внедрение в SQL-запросы, позволяя злоумышленникам манипулировать запросами SQL.
Описание	Более подробное описание уязвимости доступно на английской версии сайта.
Решение	Отредактировать исходный код для обеспечения надлежащей очистки ввода.