JVN#74747784: XOOPS Cube Legacy におけるクロスサイトスクリプティングの脆弱性

XOOPS Cube Project が提供する XOOPS Cube Legacy には、クロスサイトスクリプティングの脆弱性が存在します。

XOOPS Cube Project が提供する XOOPS Cube Legacy は、オープンソースのコンテンツ管理システムです。XOOPS Cube Legacy には、クロスサイトスクリプティングの脆弱性が存在します。

なお、開発者によると、 XOOPS Cube Legacy のディストリビューション「ホダ塾ディストリビューション」や「追加モジュール」は、本脆弱性の影響を受けません。詳しくは開発者が提供する情報を参照してください。

悪意ある利用者によって細工されたページをユーザが読み込んだ場合、ユーザのウェブブラウザ上で任意のスクリプトを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに最新版へアップデートする、もしくはパッチを適用してください。
ワークアラウンドを実施する
アップデートまでの回避策として、開発者が提供する情報をもとにカスタムテンプレートを変更してください。

ベンダ	リンク
XOOPS Cube Project	XOOPS Cube オフィシャルサイト(β)

2009.04.02における脆弱性分析結果

評価尺度	攻撃成立条件	評価値
攻撃経路	インターネット経由からの攻撃が可能	高
認証レベル	匿名もしくは認証なしで攻撃が可能	高
攻撃成立に必要なユーザーの関与	リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される	中
攻撃の難易度	専門知識や運がなくとも攻撃可能	高

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。報告者: 三井物産セキュアディレクション寺田健氏

JVN#74747784 XOOPS Cube Legacy におけるクロスサイトスクリプティングの脆弱性