News
Vigil@nce - Magento Enterprise Edition : Cross Site Scripting de Use SID on Frontend
avril 2013 par Vigil@nce
Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre
SYNTHÈSE DE LA VULNÉRABILITÉ
Un attaquant peut provoquer un Cross Site Scripting dans la
fonctionnalité "Use SID on Frontend" de Magento Enterprise
Edition, afin d’exécuter du code JavaScript dans le contexte du
site web.
– Produits concernés : Magento Enterprise Edition
– Gravité : 2/4
– Date création : 11/04/2013
DESCRIPTION DE LA VULNÉRABILITÉ
L’option de configuration "SID on Frontend" (System >
Configuration > WEB > Session Validation Settings, Use SID on
Frontend) permet de gérer la session de l’utilisateur, en
utilisant un identifiant unique.
Cependant, cet identifiant n’est pas filtré, avant d’être inséré
dans les documents HTML générés.
Un attaquant peut donc provoquer un Cross Site Scripting dans la
fonctionnalité "Use SID on Frontend" de Magento Enterprise
Edition, afin d’exécuter du code JavaScript dans le contexte du
site web.
ACCÈS AU BULLETIN VIGIL@NCE COMPLET
