Программа: Drupal 6.x
Описание:
Уязвимость позволяет удаленному пользователю выполнить XSS нападение на целевую систему. Уязвимость существует из-за недостаточной обработки входных данных в полях ввода "Language name in English" и "Native language name". Атакующий может выполнить произвольный сценарий в браузере жертвы в контексте безопасности уязвимого сайта.
Уязвимость позволяет удаленному пользователю выполнить XSS нападение на целевую систему. Уязвимость существует из-за недостаточной обработки входных данных в полях ввода "Language name in English" и "Native language name". Атакующий может выполнить произвольный сценарий в браузере жертвы в контексте безопасности уязвимого сайта.
Эксплоит:
1. Установите Drupal 6.14 и включите Locale модуль из Administer -> Modules
2. Выберите Administer -> Site configuration -> Languages
3. Выберите 'Add language'
4. Расширьте область формы путем выбора 'Custom language'
5. Введите "<script>alert('xss1');</script>" в 'Language name in English' области текста
6. Введите "<script>alert('xss2');</script>" в 'Native language name' области текста
7. Введите произвольные значения для кнопки 'Direction' and click the 'Add custom language'
8. Выберите Administer -> User management -> Users
9. Выберите 'Add user' кнопку для наблюдения за отработанным JavaScript.