Межзонный скриптинг

Средняя (4.3)

(AV:N/AC:M/Au:N/C:N/I:P/A:N)

Skype Technologies

Skype (3.5.0, 3.6.244)

Межзонное выполнение сценариев в элементе Internet Explorer web control в Skype позволяет злоумышленникам, действующим удаленно, внедрить  произвольный веб-сценарий или HTML-код в Local Machine Zone, используя поле Description и некоторые другие поля ролика Metacafe, представленного Metacafe Pro в видеогалерее Skype, доступ к которому можно получить через поиск в диалогах "Add video to chat" или "Add video to mood". Для эксплуатации уязвимости необходимы активные действия со стороны пользователя.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.skype.com/

http://aviv.raffon.net/2008/01/22/NoMoreVideosForYouComeBackWhenPatchAvailable.aspx
http://skype.com/security/skype-sb-2008-001-update1.htm
BID (27338): http://www.securityfocus.com/bid/27338
CERT-VN (VU#794236): http://www.kb.cert.org/vuls/id/794236