Actu
Securinfos : Drupal Exif Module, Vulnérabilié d’Insertion de Script
avril 2009 par Securinfos
Une vulnérabilité a été rapportée dans le module Exif pour Drupal, qui pourrait être exploitée par des utilisateurs malicieux pour conduire des attaques par insertion de script.
L’entrée passée via EXIF tags n’est pas correctement filtrée avant d’être renvoyée à l’utilisateur. Cela pourrait être exploité pour insérer du code HTML et de script arbitraire, qui sera exécuté dans une session de navigation d’un utilisateur dans le contexte d’un site affecté quand le tag malicious EXIF est affiché.
L’exploitation de ce problème requière la possibilité pour téléverser des fichiers images.
La vulnérabilité est rapportée dans 5.x-1.x précédente à la version 5.x-1.2 et 6.x-1.x-dev précédente à April 13, 2009.
