JVNDB-2015-001854
|
MyBB の管理バックエンドにおけるクロスサイトスクリプティングの脆弱性
|
MyBB (別名 MyBulletinBoard) の管理バックエンドには、クロスサイトスクリプティングの脆弱性が存在します。
|
CVSS v2 による深刻度 基本値: 3.5 (注意) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 単一
- 機密性への影響(C): なし
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
MyBB Group
|
|
リモート認証されたユーザにより、admin/index.php の以下のフィールドを介して、任意の Web スクリプトまたは HTML を挿入される可能性があります。
(1) config-attachment_types モジュールの add アクションの MIME-type フィールド
(2) config-mycode モジュールの add アクションの title フィールドまたは short description フィールド
(3) user-groups モジュールの add アクションの title フィールドまたは short description フィールド
(4) forum-management モジュールの add アクションの title フィールド
(5) tool-tasks モジュールの add アクションの title フィールド
(6) style-templates モジュールの add_set アクションの name フィールド
(7) style-templates モジュールの add_template_group アクションの title フィールド
(8) config-post_icons モジュールの add アクションの name フィールド
(9) user-titles モジュールの add アクションの "title to assign" フィールド
(10) config-banning モジュールの username フィールド
|
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
|
MyBB Group
|
- クロスサイトスクリプティング(CWE-79) [NVD評価]
|
- CVE-2015-2149
|
- National Vulnerability Database (NVD) : CVE-2015-2149
- 関連文書 : Multiple stored XSS-vulnerabilities in MyBB v. 1.8.3
- 関連文書 : CVE-Request -- MyBB v. 1.8.3 -- Multiple stored XSS-vulnerabilities
- 関連文書 : Re: CVE-Request -- MyBB v. 1.8.3 -- Multiple stored XSS-vulnerabilities
|
|