Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2012-AVI-059

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2012-AVI-059
Titre	Vulnérabilités dans DotNetNuke
Date de la première version	06 février 2012
Date de la dernière version	-
Source(s)	Bulletin de sécurité DotNetNuke 62, 63 et 64 du 01 février 2012
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité ;
injection de code indirecte à distance.

2 Systèmes affectés

DotNetNuke 6.x ;
DotNetNuke 5.x.

3 Résumé

Plusieurs vulnérabilités ont été corrigées dans DotNetNuke. Elles peuvent notamment être exploitées par une personne malveillante distante pour contourner la politique de sécurité ou faire de l'injection de code indirecte (XSS).

4 Description

Plusieurs vulnérabilités ont été corrigées dans DotNetNuke. La première peut être utilisée pour faire de l'injection de code indirecte à distance. La seconde peut permettre à une personne malveillante distante de créer, modifier ou supprimer des utilisateurs (ou leurs rôles). Enfin, la dernière peut être utilisée pour énumérer des fichiers de ressources ou de configurations présents sur le serveur.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Bulletin de sécurité DotNetNuke 62du 01 février 2012 :

http://www.dotnetnuke.com/News/Security-Policy/Security-bulletin-no.62.aspx

Bulletin de sécurité DotNetNuke 63 du 01 février 2012 :

http://www.dotnetnuke.com/News/Security-Policy/Security-bulletin-no.63.aspx

Bulletin de sécurité DotNetNuke 64 du 01 février 2012 :

http://www.dotnetnuke.com/News/Security-Policy/Security-bulletin-no.64.aspx

Gestion détaillée du document

06 février 2012: version initiale.

CERTA
2012-02-06

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 25/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques