Vanilla论坛程序中的多个HTML注入及跨站脚本漏洞 _云知道

受影响系统：
Lussumo Vanilla <= 1.1.4
不受影响系统：
Lussumo Vanilla 1.1.5 RC1
描述：
Vanilla（香草）是一个开源的多语言、完全可扩展的论坛程序。
Vanilla中存在多个输入验证错误，允许恶意用户执行脚本注入、跨站脚本和跨站请求伪造攻击。
【Vanilla论坛程序中的多个HTML注入及跨站脚本漏洞】1) 当PostBackAction设置为Apply的时候，没有正确地过滤people.php文件中的NewPassword参数输入便返回给了用户，这可能导致在用户的浏览器会话中执行任意HTML和脚本代码。
2) 没有正确地过滤account.php中的Account picture、Icon和Value表单字段便执行了存储，当查看恶意数据时就可能注入任意HTML属性并在用户的浏览器会话中执行。成功利用这个漏洞要求攻击者拥有有效的用户凭据且受害用户拥有有效的管理员凭据。
3) 没有对用户提交的HTTP请求执行有效性检查便允许执行某些操作，这可能在ajax/UpdateCheck.php和注销功能中导致安全漏洞。
厂商补丁：

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：
http://lussumo.com/community/discussion/8559/vanilla-115-release-candidate-1/

Vanilla论坛程序中的多个HTML注入及跨站脚本漏洞

推荐阅读

汽车点烟器怎么用汽车点烟器怎么点烟

冰心的雨荷中心中的雨点是什么荷叶母亲中心中的雨点指的是什么

空调扇加水还是加冰

猫咪打嗝是怎么回事

苹果手机怎么清理苹果手机清理垃圾的方法

昆虫有什么动物

餐饮标书怎么写管理方案

帝国时代4怎么退出游戏帝国时代4如何退出游戏

阿玛尼七夕香水礼盒有哪几款

安全三宝是指哪三宝安全三宝是什么

哪个计步软件最准,手机计步器软件哪个好用一些

我来分享Win7视频文件打不开的解决方法

|厦门楼市今年的小阳春要结束了，上半年那些需要买房的人，差不多都已经入场了

株洲开韶关高铁时间表，株洲至长沙的城铁多少钱

活氧泡泡净能洗衣服吗

到上海移动手机套餐好网一步到位移动手机选号码大全