vBulletin 3.x title Script Insertion

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
6.1$0-$5k0.00

Zusammenfassunginfo

Es wurde eine Schwachstelle in vBulletin 3.6.5 entdeckt. Sie wurde als problematisch eingestuft. Es geht hierbei um eine nicht näher spezifizierte Funktion der Datei calendar.php. Durch das Beeinflussen des Arguments Titel mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Diese Schwachstelle trägt die Bezeichnung CVE-2007-2908. Der Angriff kann über das Netzwerk erfolgen. Zusätzlich gibt es einen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

vBulletin ist eine bekannte proprietäre Softwarelösung für Webforen. vBulletin ist in der Skriptsprache PHP geschrieben und benutzt MySQL-Datenbanken für die Speicherung von Inhalten. Das Projekt des vBulletin begann im Jahre 2000, als es durch seine Funktionsvielfalt viele Nutzer gewinnen konnte. vBulletin wird von Jelsoft Enterprises Ltd. entwickelt und in Deutschland von Adduco Digital, einer Firma aus Zweibrücken, vertrieben. In der aktuellen Version werden Eingaben, die mittels des Parameters "title" an die Datei calendar.php übergeben werden nicht ausreichend validiert und können so für persistente XSS Angriffe genutzt werden. Unter anderem wird der Fehler auch in den Datenbanken von X-Force (34333), SecurityFocus (BID 24020†), OSVDB (35155†) und Secunia (SA25309†) dokumentiert. Die Schwachstellen VDB-37016 und VDB-37015 sind ähnlich. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diese Schwachstelle betrifft, aufgrund der hohen Verbreitung von vBulletin, eine relativ hohe Anzahl von Nutzern. Ausserdem handelt es sich um eine persistente Lücke, die es erlaubt Angriffe hoch zeitverzögert und ohne aktives Zuwirken des Opfers auszuführen. Es empfiehlt sich daher, den bereitgestellten Patch einzuspielen um diese Schwachstelle möglichst bald zu schliessen.

Produktinfo

Typ

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 6.1

VulDB Base Score: 6.3
VulDB Temp Score: 6.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-80 / CWE-74 / CWE-707
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Zugang: öffentlich
Status: Hoch funktional
Download: 🔍
Google Hack: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: vBulletin 3.6.7
Patch: vbulletin.com

Timelineinfo

16.05.2007 🔍
17.05.2007 +1 Tage 🔍
17.05.2007 +0 Tage 🔍
17.05.2007 +0 Tage 🔍
18.05.2007 +0 Tage 🔍
29.05.2007 +11 Tage 🔍
30.05.2007 +1 Tage 🔍
23.04.2018 +3981 Tage 🔍

Quelleninfo

Advisory: securityfocus.com⛔
Person: Laurent Gaffié
Status: Nicht definiert

CVE: CVE-2007-2908 (🔍)
GCVE (CVE): GCVE-0-2007-2908
GCVE (VulDB): GCVE-100-3088
X-Force: 34333 - vBulletin calendar.php cross-site scripting, Medium Risk
SecurityFocus: 24020 - VBulletin Calendar.PHP HTML Injection Vulnerability
Secunia: 25309 - vBulletin Script Insertion Vulnerabilities, Less Critical
OSVDB: 35155 - vBulletin calendar.php title Field XSS

scip Labs: https://www.scip.ch/?labs.20161013
Siehe auch: 🔍

Eintraginfo

Erstellt: 18.05.2007 10:53
Aktualisierung: 23.04.2018 09:21
Anpassungen: 18.05.2007 10:53 (70), 23.04.2018 09:21 (8)
Komplett: 🔍
Cache ID: 216:89D:103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!