Межсайтовое выполнение сценариев

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

PHP

PHP (4.3.2)

PHP содержит уязвимость, которая позволяет удаленно проводить межсайтовый скриптинг. Уязвимость существует, потому что приложение не проверяет переменные PHPSESSID перед тем, как передает их сценарию index.php. Это может позволить пользователю создать специально сформированный URL, с помощью которого будет выполнен произвольный код в браузере пользователя в контексте безопасности сервера.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.php.net/

Bugtraq (20030530 PHP Trans SID XSS (Was: New php release with security fixes)): http://marc.theaimsgroup.com/?l=bugtraq&m=105449314612963&w=2
http://shh.thathost.com/secadv/2003-05-11-php.txt
Red Hat (RHSA-2003:204): http://www.redhat.com/support/errata/RHSA-2003-204.html
Bugtraq (20030707 [OpenPKG-SA-2003.032] OpenPKG Security Advisory (php)): http://marc.theaimsgroup.com/?l=bugtraq&m=105760591228031&w=2
DEBIAN (DSA-351): http://www.debian.org/security/2003/dsa-351
MANDRAKE (MDKSA-2003:082): http://www.mandrakesoft.com/security/advisories?name=MDKSA-2003:082
BID (7761): http://www.securityfocus.com/bid/7761
OVAL (OVAL485): http://oval.mitre.org/oval/definitions/data/oval485.html
CONECTIVA (CLSA-2003:691): http://distro.conectiva.com.br/atualizacoes/?id=a&anuncio=000691
OVAL (oval:org.mitre.oval:def:485): http://oval.mitre.org/repository/data/getDef?id=oval:org.mitre.oval:def:485