Une nouvelle vulnérabilité de type cross-scripting a été découverte dans phpBB, un des gestionnaires de forums open-source les plus en vogue de l'Internet.
Elle permet à un pirate de voler un cookie utilisateur, et ainsi de se connecter avec l'identité de cet utilisateur, sans avoir à s'authentifier. Le pirate a donc la possibilité d'accéder aux données personnelles de sa victime, de poster des messages émanant de l'utilisateur qu'il a usurpé, et de bénéficier de tous les droits de celui-ci.
Pour que le pirate puisse exploiter cette faille, il faut que l'administrateur du portail phpBB ait autorisé le code HTML dans les messages.
Quoique cette vulnérabilité n'ait été testée que sur les versions 2.0.5 et 2.0.4 par la personne qui l'a découverte, Marvin Massih, les versions plus anciennes y sont très certainement sensibles également. Contactée sur le problème, l'équipe de développement de phpBB n'a pas prévu de patcher cette faille puisqu'il est possible aux administrateurs de phpBB d'activer la fonctionnalité BBCode au lieu de HTML, ce qui rend impossible le cross-scripting.
Les gestionnaires de forums phpBB auraient donc tout intérêt à désactiver de toute urgence le HTML dans les messages pour éviter le vol de cookies.
faille dans phpBB permettant le vol de cookie
Modérateur : Chelmi
-
mallsterblaster
- +++
- Messages : 65
- Inscription : 17 juin 2003, 20:52
- Localisation : Paris/Vichy
faille dans phpBB permettant le vol de cookie
"ne pas gerber"
Team Bakaré
Team Bakaré
-
Lord Fatine Jr
- Snots & SOS DEATH member
- Messages : 2212
- Inscription : 6 novembre 2002, 23:13
- Localisation : Elancourt
-
Chelmi
- The Fucking Moderator
- Messages : 11714
- Inscription : 19 avril 2002, 19:25
- Localisation : Andrésy (78)
- Contact :
Que je vous rassure tout de suite :
cette faille de sécurité permet uniquement de voler les pépites de chocolat dans les cookies. En aucun le voleur ne pourra manger le reste de votre biscuit.
Si vous aimez plus que tout le chocolat, c'est un réel problème.
cette faille de sécurité permet uniquement de voler les pépites de chocolat dans les cookies. En aucun le voleur ne pourra manger le reste de votre biscuit.
Si vous aimez plus que tout le chocolat, c'est un réel problème.
-+- Chelmi -+- 
L'ennemi est con : il croit que c'est vous l'ennemi, alors que c'est lui (P. Desproges).
L'ennemi est con : il croit que c'est vous l'ennemi, alors que c'est lui (P. Desproges).
TG TOA!!!!!!!!!!KsR a écrit :du genre po un eagle "cham" qui pue mais qui fait joli ds le salon au dessus de la cheminéeKsR a écrit :NA = NT need godly only
au fait je suis de retour en france le vendredi 29 aout et jusqu'au 7 ou 8 septembre et je vais donc passer sur orleans du lundi au mercredi pense a brancher ton telephone ksr si tu est dans le koin
