MyBB User Profile Skype ID插件“skype” 参数HTML注入漏洞


发布日期：2012-12-16
更新日期：2012-12-19

受影响系统：
MyBB User Profile Skype ID 1.x
MyBB User Profile Skype ID 1.x
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 56967

User Profile Skype ID插件可允许用户将其Skype ID放置在其配置文件内。

User Profile Skype ID 1.0及其他版本没有验证usercp.php内"skype"参数的合法性，可以导致HTML注入漏洞，远程攻击者可以通过该漏洞在用户浏览器中执行任意脚本代码。

<*来源：limb0
 
  链接：http://secunia.com/advisories/51612/
        http://www.exploit-db.com/exploits/23425/
*>

测试方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

Proof
Inject:https://imageshack.us/photo/my-images/22/screenshotfrom201212141.png/
Result:https://imageshack.us/photo/my-images/41/screenshotfrom201212141.png/
+-------------------------------------------------------------+

建议：
--------------------------------------------------------------------------------
临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

*禁用User Profile Skype ID插件

厂商补丁：

MyBB
----
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://mods.mybb.com/view/user-profile-skype-id

相关内容