Geeklog 1.3.7sr1 Security-Update
Es wurden mehrere Sicherheitsprobleme in Geeklog 1.3.7 gefunden (auch ältere Versionen dürften betroffen sein). Diese werden mit Geeklog 1.3.7sr1 behoben. Wer bereits 1.3.7 installiert hat, kann alternativ zu diesem Upgrade-Archiv greifen, das nur die korrigierten Dateien enthält. Jedoch enthält das Komplett-Archiv weitere Korrekturen, die von dem Upgrade-Archiv nicht abgedeckt werden.
Die Sicherheitsprobleme im Einzelnen:
- Es war möglich, Javascript-Code in den Homepage-Link im Userprofil einzubauen (gefunden von Jin Yean Tan).
- Es war möglich, Javascript-Code in bestimmte URLs einzuschleusen und diese dann für eine Cross-Site Scripting Attack zu verwenden (gefunden von Jin Yean Tan).
- Auch Benutzer ohne Admin-Rechte konnten Kommentare löschen.
- Ein Admin konnte sich über einschränkende Rechte in seinem Adminbereich hinwegsetzen. So konnte z.B. ein StoryAdmin auch dann alle Artikel bearbeiten, wenn dies aufgrund der gesetzten Rechte eigentlich nicht möglich gewesen sein sollte. Analog verhielt es sich mit Admins für die Bereiche Links, Termine, Umfragen, Kategorien und Blöcke (gefunden von Kobaz).
bye, Dirk