S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 05 janvier 2010 No CERTA-2010-AVI-001

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Xoops

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Injection de code indirecte ;
• injection SQL.

2 Systèmes affectés

Xoops versions 2.4.2 et antérieures.

3 Résumé

Deux vulnérabilités dans Xoops permettent de réaliser des injections diverses.

4 Description

Deux vulnérabilités ont été découvertes dans Xoops :

• un problème dans le module PM permet de réaliser une injection de code indirecte ;
• une faille dans le fichier kernel/notification.php permet de réaliser une injection SQL.

5 Solution

Mettre Xoops à jour en version 2.4.3 (cf. section Documentation).

6 Documentation

• Annonce de la version 2.4.3 de Xoops du 31 décembre 2009 :

  http://www.xoops.org/modules/news/article.php?storyid=5178
  

Gestion détaillée du document

05 janvier 2010

version initiale.