S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 15 février 2008 No CERTA-2008-AVI-092

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Dokeos

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• injection de code indirecte ;
• injection SQL.

2 Systèmes affectés

Dokeos 1.8.4 sans SP2.

3 Description

De multiples vulnérabilités de type injection SQL et injection de code indirecte ont été identifiées dans Dokeos. Ces failles sont dues à des insuffisances de filtrage de données envoyées au serveur, notamment dans les pages whoisonline.php, class_list.php, inscription.php, myagenda.php, course_category.php et session_list.php.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

5 Documentation

• Rapport de bogue #2218 de Dokeos :

  http://projects.dokeos.com/index.php?do=details&task_id=2218
  

Gestion détaillée du document

15 février 2008

version initiale.