Avis du CERT-FR
Objet : Multiples vulnérabilités dans Joomla!
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Injection de code indirecte
Systèmes affectés
Joomla! versions 1.5.x antérieures à 1.5.12.
Résumé
Plusieurs vulnérabilités dans Joomla! permettent de réaliser des injections de code indirectes.
Description
De multiples vulnérabilités ont été découvertes dans Joomla! :
- la variable HTTP_REFERER n'est pas correctement traitée, ce qui permet de récupérer des cookies (20090604) ;
- la variable PHP_SELF n'est pas correctement filtrée, ce qui permet d'injecter du code javascript (20090605) ;
- plusieurs fichiers ne vérifient pas si la variable _JEXEC a été définie, ce qui provoque l'affichage du chemin d'installation de certains scripts (20090606).
Solution
Se référer aux bulletins de sécurité de l'éditeur (voir Documentation).
Documentation
-
Bulletins de sécurité Joomla! 20090604 du 01 juillet 2009 :
http://developer.joomla.org/security/news/298-20090604-core-frontend-xss-httpreferer-not-properly-filtered.html -
Bulletins de sécurité Joomla! 20090605 du 01 juillet 2009 :
http://developer.joomla.org/security/news/299-20090605-core-frontend-xss-phpself-not-properly-filtered.html -
Bulletins de sécurité Joomla! 20090606 du 01 juillet 2009 :
http://developer.joomla.org/security/news/300-20090606-core-missing-jexec-check.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 01 juillet 2009 | version initiale. |