Avis du CERT-FR

Json

Objet : Multiples vulnérabilités dans Dokeos

Gestion du document

Référence	CERTA-2008-AVI-092
Titre	Multiples vulnérabilités dans Dokeos
Date de la première version	15 février 2008
Date de la dernière version	15 février 2008
Source(s)	Rapport de bogue de Dokeos #2218

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Injection de code indirecte
Injection SQL

Systèmes affectés

Dokeos 1.8.4 sans SP2.

Description

De multiples vulnérabilités de type injection SQL et injection de code indirecte ont été identifiées dans Dokeos. Ces failles sont dues à des insuffisances de filtrage de données envoyées au serveur, notamment dans les pages whoisonline.php, class_list.php, inscription.php, myagenda.php, course_category.php et session_list.php.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Rapport de bogue #2218 de Dokeos :
http://projects.dokeos.com/index.php?do=details&task_id=2218

Gestion détaillée du document

Date	Description
15 février 2008	version initiale.