S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 24 novembre 2010 No CERTA-2010-AVI-564

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans les produits Horde

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Injection de code indirecte à distance.

2 Systèmes affectés

• Horde Application Framework 3.3.10 et antérieures ;
• Horde Groupware 1.2.8 et antérieures ;
• Horde Groupware Webmail Edition 1.2.9 et antérieures.

3 Résumé

4 Description

Une vulnérabilité de type XSS peut être exploitée dans les produits Horde lors de l'affichage d'une vCard spécialement conçue. Elle permet à un utilisateur malintentionné d'exécuter du code arbitraire dans le navigateur Web du client (HTML, JavaScript ...).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Notes de version Horde 574, 575 et 576 du 23 novembre 2010 :

  http://list.horde.org/archives/announce/2010/000574.html
  

  http://list.horde.org/archives/announce/2010/000575.html
  

  http://list.horde.org/archives/announce/2010/000576.html
  

Gestion détaillée du document

24 novembre 2010

version initiale.