Securinfos : OrangeHRM : Cross-Site Scripting et Contournement de la Sécurité
avril 2009 par Securinfos
Quelques vulnérabilités ont été identifiées dans OrangeHRM, qui pourraient être exploitées par des personnes malintentionnées pour conduire des attaques cross-site scripting, et par des utilisateurs malicieux pour passer outre certaines restrictions de sécurité.
1) L’entrée passée via un paramètre non-spécifié et via the report name n’est pas correctement filtrée avant d’être renvoyée à l’utilisateur. Cela pourrait être exploité pour exécuter du code HTML et de script arbitraire dans une session de navigation d’un utilisateur dans le contexte d’un site affecté.
2) Plusieurs erreurs non-spécifiées pourraient être exploitées par "ESS" users pour voir ou éditer "Time Mod", "Benefits Mod", "Leave Mod", "PIM Mod", ou "Admin Mod" information.
Les vulnérabilités sont rapportées en versions inférieures à 2.4.2.