ownCloud 多个跨站脚本漏洞

漏洞信息详情

ownCloud 多个跨站脚本漏洞

• CNNVD编号：CNNVD-201209-017
• 危害等级： 中危
  
  
• CVE编号：
  CVE-2012-4396
  
• 漏洞类型：
  
  
  跨站脚本
  
• 发布时间：
  
  2012-09-11
  
• 威胁类型：
  
  
  远程
  
• 更新时间：
  
  2012-09-11
  
• 厂        商：
  
  owncloud
• 漏洞来源：

ownCloud 4.0.2之前版本中存在多个跨站脚本(XSS)漏洞。远程攻击者可利用该漏洞通过(1)文件名传送到apps/user_ldap/settings.php脚本(2)url或(3)title参数传送到apps/bookmarks/ajax/editBookmark.php脚本(4)tag或(5)page参数传送到apps/bookmarks/ajax/updateList.php脚本(6)identity传送到apps/user_openid/settings.php脚本(7)apps/gallery/lib/tiles.php脚本中的栈名(8)root参数传送到apps/gallery/templates/index.php脚本(9)apps/calendar/templates/part.import.php脚本中的日历显示名称(10)apps/calendar/templates/part.choosecalendar.rowfields.php脚本中的日历uri(11)title(12)location或(13)apps/calendar/lib/object.php脚本中的description参数(14)core/js/multiselect.js中的某些向量或(15)artist(16)album或(17)title内容参数传送到apps/media/lib_scanner.php脚本，注入任意web脚本或HTML。

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://owncloud.org/changelog/

来源: github.com

链接:https://github.com/owncloud/core/commit/f955f6a6857754826af8903475688ba54f72c1bb

来源: github.com

链接:https://github.com/owncloud/core/commit/f8337c9d723039760eecccf68bcb02752551e254

来源: github.com

链接:https://github.com/owncloud/core/commit/e817504569dce49fd7a677fa510e500394af0c48

来源: github.com

链接:https://github.com/owncloud/core/commit/d294373f476c795aaee7dc2444e7edfdea01a606

来源: github.com

链接:https://github.com/owncloud/core/commit/cc653a8a408adfb4d0cd532145668aacd85ad96c

来源: github.com

链接:https://github.com/owncloud/core/commit/8f616ecf76aac4a8b554fbf5a90b1645d0f25438

来源: github.com

链接:https://github.com/owncloud/core/commit/8f09299e2468dfc4f9ec72b05acf47de3ef9d1d7

来源: github.com

链接:https://github.com/owncloud/core/commit/642e7ce110cb8c320072532c29abe003385d50f5

来源: github.com

链接:https://github.com/owncloud/core/commit/44260a552cd4ee50ee11eee45164c725f56f7027

来源: MLIST

名称: [oss-security] 20120901 Re: CVE – ownCloud

链接:http://www.openwall.com/lists/oss-security/2012/09/02/2

来源: MLIST

名称: [oss-security] 20120810 ownCloud – matching CVEs to fix information and vice versa

链接:http://www.openwall.com/lists/oss-security/2012/08/11/1