PHPBB2 Image标识符存在HTML插入漏洞发布时间：2002-05-31 更新时间：2002-05-31 严重程度：中 威胁程度：用户敏感信息泄露 错误类型：输入验证错误 利用方式：客户机模式 BUGTRAQ ID：4858 受影响系统 phpBB Group phpBB 2.0 .0详细描述 phpBB2是WEB论坛程序，在处理图象标识符时过滤不充分，可导致攻击者在[img]中插入脚本代码。 攻击者可以使用'"'字符插入到[img]标识中，然后在后面追加任意HTML或者脚本代码，当其他用户查看此连接时，可导致脚本执行，COOKIE信息泄露。 测试代码 [img]http://a.a/a"onerror="javascript:alert(document.cookie)[/img] 解决方案 phpBB Group phpBB 2.0 .0: phpBB Group Upgrade phpBB 2.0.1 http://www.phpbb.com/downloads.php phpBB Group phpBB 2.0 RC4: phpBB Group Upgrade phpBB 2.0.1 http://www.phpbb.com/downloads.php phpBB Group phpBB 2.0 RC3: phpBB Group Upgrade phpBB 2.0.1 http://www.phpbb.com/downloads.php phpBB Group phpBB 2.0 RC2: phpBB Group Upgrade phpBB 2.0.1 http://www.phpbb.com/downloads.php phpBB Group phpBB 2.0 RC1: phpBB Group Upgrade phpBB 2.0.1 http://www.phpbb.com/downloads.php phpBB Group phpBB 2.0 Beta 1: phpBB Group Upgrade phpBB 2.0.1 http://www.phpbb.com/downloads.php 相关信息 Martijn Boerwinkel <xim@xs4all.nl>. 参考：http://online.securityfocus.com/archive/1/274273 相关主页：http://www.phpbb.com/ |
