Avis du CERT-FR
Objet : Vulnérabilités dans DotNetNuke
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
Systèmes affectés
- DotNetNuke 5.x.
- DotNetNuke 6.x ;
Résumé
Plusieurs vulnérabilités ont été corrigées dans DotNetNuke. Elles peuvent notamment être exploitées par une personne malveillante distante pour contourner la politique de sécurité ou faire de l'injection de code indirecte (XSS).
Description
Plusieurs vulnérabilités ont été corrigées dans DotNetNuke. La première peut être utilisée pour faire de l'injection de code indirecte à distance. La seconde peut permettre à une personne malveillante distante de créer, modifier ou supprimer des utilisateurs (ou leurs rôles). Enfin, la dernière peut être utilisée pour énumérer des fichiers de ressources ou de configurations présents sur le serveur.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité DotNetNuke 62du 01 février 2012 :
http://www.dotnetnuke.com/News/Security-Policy/Security-bulletin-no.62.aspx -
Bulletin de sécurité DotNetNuke 63 du 01 février 2012 :
http://www.dotnetnuke.com/News/Security-Policy/Security-bulletin-no.63.aspx -
Bulletin de sécurité DotNetNuke 64 du 01 février 2012 :
http://www.dotnetnuke.com/News/Security-Policy/Security-bulletin-no.64.aspx
Gestion détaillée du document
| Date | Description |
|---|---|
| 06 février 2012 | version initiale. |