Détails:
Quelques vulnérabilités ont été trouvées dans eGroupWare, celles-ci pourraient être exploitées par des personnes malicieuses afin d'effectuer des attaques de type cross site scripting ou injections SQL.

1) Les données passées aux paramètres de plusieurs pages ne sont pas suffisamment filtrées avant d'être retournées à l'utilisateur. Ceci peut être exploité afin d'exécuter du code HTML arbitraire et script code dans un navigateur durant une session utilisateur dans le contexte d'un site vulnérable lorsque le lien malicieux est affiché.

Exemple:
http://egroupware/index.php?menuaction=addressbook.uiaddressbook.edit&ab_id=11[XSS]

2) Les données passées au paramètre "filter" dans "tts/index.php" et "cats_app" dans "/preferences/inc/class.uicategories.inc.php" ne sont pas suffisamment filtrées avant leur utilisation dans les requêtes SQL. Ceci peut être exploité pour manipuler les requêtes sql en injectant du code SQL.

Solution:
Mise à jour : version 1.0.0.007.

http://www.egroupware.org/downloads

Références:
http://secunia.com/advisories/14982/
http://www.gulftech.org/?node=research&article_id=00069-04202005 Avis original
http://sourceforge.net/forum/forum.php?forum_id=461191 Avis original

  En parler sur le forum...
  S'inscrire à la liste de diffusion...