Posts Tagged ‘ CMS

Pointter PHP Content Management System 1.2 Multiple Vulnerabilities

Pointter PHP Content Management System 1.2 Multiple Vulnerabilities

Vendor: PangramSoft GmbH
Product web page: http://www.pointter.com
Affected version: 1.2

Summary: Pointter PHP Content Management System is an advanced, fast
and user friendly CMS script that can be used to build simple websites
or professional websites with product categorization, product blogs,
member login and search modules. The webmaster can create unlimited
static page boxes, static pages, main categories, sub categories and
product pages.

Desc: Pointter CMS suffers from multiple vulnerabilities (post-auth)
including: Stored XSS, bSQLi, LFI, Cookie Manipulation, DoS.

Tested on: Microsoft Windows XP Pro SP3 (en)

Vulnerabilities discovered by Gjoko ‘LiquidWorm’ Krstic

Advisory ID: ZSL-2011-5002
Advisory URL: http://www.zeroscience.mk/en/vulnerabilities/ZSL-2011-5002.php

10.03.2011


XSS:
The stored XSS is pretty much everywhere in the admin panel, just posting the
string ‘”><script>alert(1)</script>’ when editing some category, and on every
return on the main page u get annoyed.

LFI:
script: pointtercms/admin/functions/createcategory.php
post param: category
poc: category=../../../../../../../../../test.txt%00&code=0e=0

script: pointtercms/admin/functions/createpage.php
post param: pageurl

script: pointtercms/admin/functions/createproduct.php
post param: producturl

bSQLi:
script: pointtercms/admin/functions/editsettings.php
post param: onoff, count, boxname, tonoff, tname, monoff, mname, nonoff, nname,
memonoff, memname, searchonoff, searchname, pos, tpos, mpos, npos, mempos, mail.
poc: onoff=1’+and+sleep(10)%23&pos=0
– Response size: 0 bytes, Duration: 10016 ms

Advisory: http://www.zeroscience.mk/mk/vulnerabilities/ZSL-2011-5002.php

Constructr CMS 3.03 Multiple Remote Vulnerabilities (XSS/SQLi)

The CMS suffers from several vulnerabilities (SQL and XSS). The sql issue can be triggered when the app tries to parse malicious arguments to the ‘page_id’ in the /xmlOutput/constructrXmlOutput.content.xml.php script with user input not validated. The result can be seen in the source code of the page itself. The xss issue (GET) is thru ‘user’ and ‘hash’ parameter in the /backend/login.php script.

——————————————————————————–

32: $PAGE_ID = $_REQUEST[‘page_id’];

40: $select_content = $conContent -> query(”
41: SELECT *
42: FROM $DB_TABLE_CONSTRUCTR_CONTENT
43: WHERE page_id = ‘$PAGE_ID’
44: ORDER BY sort ASC
45: “)or die(mysql_error());

51: while ($all_content = $conContent -> fetch_array($select_content))
52: {
53: $id = $all_content[‘id’];
54: $page_id = $all_content[‘page_id’];

——————————————————————————–

Advisory: http://www.zeroscience.mk/en/vulnerabilities/ZSL-2011-5001.php

Mantis Bug Tracker безбедносни предупредувања и закрпи

Денеска, Zero Science Lab во соработка со MantisBT Group објави безбедносни предупредувања и закрпи за популарниот систем за следење на грешки или багови MantisBT (отворен код). Се работи за неколку сериозни ранливости со чија помош, напаѓачот може да дојде до осетливи информации на заразениот систем со пропатување на директориуми или пак да извршува HTML код во корисничкиот прелистувач со помош на XSS напад.

Слабоста се наоѓа во “upgrade_unattended.php” скриптата, која се наоѓа во “admin” папката. При повикување на параметарот “db_type” било со GET или POST методата, апликацијата не извшува доволно и контролирано санирање на корисничкото внесување при што се откриваат системски информации.

По дефинирање, се работи за Reflected (Non-persistent) Cross-Site Scripting, Local File Inclusion/Disclosure и Path Disclosure ранливости. Ние извршивме тестирање на “live” веб-страници (со дозвола), и заклучивме да ги рангираме ранливостите како Medium Risk (xss) и High Risk (lfi).

Голема благодарност до Дејвид Хикс и Виктор Боктор од MantisBT групата, кои одговорија на пријавените слабости и реагираа во најбрз временски период како и во објавување на закрпа и предупредувања после кое следеше објавување на 1.2.4 верзијата. Иако Дејвид напоменуваше дека имало “Warning” дека папката “admin” треба да се избрише после инсталација, јас такво предупредување не видов поради различните оперативни системи и PHP пермисии, и заклучивме дека многу инсталации на интернетот (кои користат MantisBT) се со присатен “admin” фолдер.

Освен јавно објавените предупредувања, објавивме и официјален Google Dork на Exploit-DB заедницата: http://www.exploit-db.com/ghdb/3651/

Предупредувањата од ZSL како и од MantisBT можете да ги погледнете подолу:

ZSL-2010-4983: MantisBT <=1.2.3 (db_type) Cross-Site Scripting & Path Disclosure Vulnerability
ZSL-2010-4983: MantisBT <=1.2.3 (db_type) Local File Inclusion Vulnerability
MantisBT: http://www.mantisbt.org/bugs/view.php?id=12607

Ажурирајте. ;}

MODx Revolution CMS 2.0.4-pl2 Remote XSS POST Injection Vulnerability

The MODx Revolution CMS suffers from a XSS vulnerability when parsing user input to
the “username” and “email” parameters via POST method in login.php script at the manager
login interface. Attackers can exploit this weakness to execute arbitrary HTML and script
code in a user’s browser session.

#############################################################
————————————————————-
/var/html/www/manager/controllers/default/security/login.php:
————————————————————-

25: /* handle login */
26: if (!empty($_POST[‘login’])) {
27: $validated = true;
28:
29: $user = $modx->getObject(‘modUser’,array(
30: ‘username’ => $_POST[‘username’],
31: ));

71: } else if (!empty($_POST[‘forgotlogin’])) {
72: $c = $modx->newQuery(‘modUser’);
73: $c->select(array(‘modUser.*’,’Profile.email’,’Profile.fullname’));
74: $c->innerJoin(‘modUserProfile’,’Profile’);
75: $c->where(array(
76: ‘Profile.email’ => $_POST[‘email’],
77: ));

————————————————————-

Tested on: Fedora 10 (Cambridge)
Apache 2.2.14
PHP 5.2.10
MySQL 5.0.88

Advisory ID: ZSL-2010-4982

http://www.zeroscience.mk/en/vulnerabilities/ZSL-2010-4982.php
http://bugs.modx.com/issues/2918

eXV² Content Management System 2.10 Remote XSS Vulnerability

The CMS suffers from a remote reflected Cross-Site Scripting vulnerability when input passed thru “rssfeedURL” and “sumb” parameter in “archive.php”, “topics.php”, “example.php” and “index.php” is not sanitized, allowing the attacker to execute arbitrary HTML and script code in a user’s browser session and aid in phishing attacks.

Tested on: Microsoft Windows XP Pro (EN)
Apache 2.2.14 (Win32)
MySQL 5.1.41
PHP 5.3.1

Vendor status: [09.10.2010] Vulnerability discovered.
[10.10.2010] Contact with the vendor.
[14.10.2010] No reply from vendor.
[15.10.2010] Public advisory released.

Vulnerability discovered by: Gjoko ‘LiquidWorm’ Krstic
liquidworm gmail com
Zero Science Lab – http://www.zeroscience.mk

Zero Science Lab Advisory: http://www.zeroscience.mk/en/vulnerabilities/ZSL-2010-4970.php

Exponent CMS v0.97 Multiple Vulnerabilities

Vendor: OIC Group Inc.
Product web page: http://www.exponentcms.org
Affected version: 0.97

Summary: Open Source Content Management System (PHP+MySQL).

Desc: Exponent CMS suffers from multiple vulnerabilities:

#1. Local File Inclusion / File Disclosure Vulnerability
#2. Arbitrary File Upload / File Modify Vulnerability
#3. Reflected Cross-Site Scripting Vulnerability

(1) LFI/FD occurs when input passed thru the params:
– “action”
– “expid”
– “ajax_action”
– “printerfriendly”
– “section”
– “module”
– “controller”
– “int”
– “src”
– “template”
– “page”
– “_common”

to the scripts:
– “index.php”
– “login_redirect.php”
– “mod_preview.php”
– “podcast.php”
– “popup.php”
– “rss.php”

is not properly verified before being used to include files.
This can be exploited to include files from local resources
with directory traversal attacks and URL encoded NULL bytes.

(2) AFU/E occurs due to an error in:
– “upload_fileuploadcontrol.php”
– “upload_standalone.php”
– “manifest.php”
– “delete.php”
– “edit.php”
– “manage.php”
– “rank_switch.php”
– “save.php”
– “view.php”
– “class.php”
– “deps.php”
– “delete_form.php”
– “delete_process.php”
– “search.php”
– “send_feedback.php”
– “viewday.php”
– “viewmonth.php”
– “viewweek.php”
– “testbot.php”
– “activate_bot.php”
– “deactivate_bot.php”
– “manage_bots.php”
– “run_bot.php”
– “class.php”
– “delete_board.php”
– “delete_post.php”
– “edit_board.php”
– “edit_post.php”
– “edit_rank.php”
– “monitor_all_boards.php”
– “monitor_board.php”
– “monitor_thread.php”
– “preview_post.php”
– “save_board.php”
– “save_post.php”
– “save_rank.php”
– “view_admin.php”
– “view_board.php”
– “view_rank.php”
– “view_thread.php”
– “banner_click.php”
– “ad_delete.php”
– “ad_edit.php”
– “ad_save.php”
– “af_delete.php”
– “af_edit.php”
– “af_save.php”
– “delete_article.php”
– “edit_article.php”
– “save_article.php”
– “save_submission.php”
– “submit_article.php”
– “view_article.php”
– “view_submissions.php”
– “coretasks.php”
– “htmlarea_tasks.php”
– “search_tasks.php”
– “clear_smarty_cache.php”
– “configuresite.php”
– “config_activate.php”
– “config_configuresite.php”
– “config_delete.php”
– “config_save.php”
– “examplecontent.php”
– “finish_install_extension.php”
– “gmgr_delete.php”
– “gmgr_editprofile.php”
– “gmgr_membership.php”
– “gmgr_savegroup.php”
– “gmgr_savemembers.php”

as it allows uploads of files with multiple extensions to a
folder inside the web root. This can be exploited to execute
arbitrary PHP code by uploading a specially crafted PHP script.

The uploaded files are stored in: [CMS_ROOT_HOST]\files

(3) XSS occurs when input passed to the params:
– “u”
– “expid”
– “ajax_action”
– “ss”
– “sm”
– “url”
– “rss_url”
– “lang”
– “toolbar”
– “section”
– “section_name”
– “src”

in scripts:
– “slideshow.js.php”
– “picked_source.php”
– “magpie_debug.php”
– “magpie_simple.php”
– “magpie_slashbox.php”
– “test.php”
– “fcktoolbarconfig.js.php”
– “section_linked.php”
– “index.php”

is not properly sanitised before being returned to the user.
This can be exploited to execute arbitrary HTML and script
code in a user’s browser session in context of an affected site.

Tested on: Microsoft Windows XP Professional SP3 (English)
Apache 2.2.14 (Win32)
MySQL 5.1.41
PHP 5.3.1

Vendor status: [09.10.2010] Vulnerabilities discovered.
[10.10.2010] Vendor contacted.
[13.10.2010] No reply from vendor.
[14.10.2010] Public advisory released.

Advisory ID: ZSL-2010-4969
Advisory URL: http://www.zeroscience.mk/en/vulnerabilities/ZSL-2010-4969.php

Vulnerabilities discovered by: Gjoko ‘LiquidWorm’ Krstic
liquidworm gmail com
Zero Science Lab – http://www.zeroscience.mk

Advisory: http://www.zeroscience.mk/en/vulnerabilities/ZSL-2010-4969.php

Raw analysis (hi 5 John Leitch): Log_Exponent.txt (616 KB)

Zen Cart безбедносни предупредувања и закрпи

Тимот на Zen Ventures (http://www.zen-cart.com) во соработка со Zero Science Lab, објави безбедносни закрпи за заштита на своите корисници. Најновата верзија, 1.3.9g, објавена на 29.09.2010 е подобрената верзија од 1.3.9f, во која имаше ранливости од типот XSS, SQLi и LFI/FD.

Zero Science Lab своите безбедносни предупредувања за Zen Cart ќе ги објави на 01.10.2010 според полисата за објавување која сеуште не е јавно достапна.

Ref: Анализа на неколку веб апликации

Безбедносните предупредувања со ID: ZSL-2010-4966 и ZSL-2010-4967 со насловите: Zen Cart v1.3.9f Multiple Remote Vulnerabilities и Zen Cart v1.3.9f (typefilter) Local File Inclusion Vulnerability официјално ќе се објават на горенаведениот датум.

Првата закана е складиран XSS напад кој се наоѓа скоро секаде во панелот за администрација. Внесување или уредување на написи или вредности со дадениот стринг <script>alert(1)</script> во било која категорија ќе биде складиран и извршуван на секое посетување на таа категорија или страна од страна на авторизиран корисник на напнелот.

Втората закана е Blind SQL Injection која исто така се наоѓа во администрацискиот панел (акредитивни корисници), post-auth, во скриптата “option_name_manager.php” преку “option_order_by” параметарот кој не користи санирање на корисничко внесување што може да дојде до не сакани резултати од откривање на доверливи информации до целосна контрола врз базата на податоци и нејзина манипулација.

Доказ на концепт: http://127.0.0.1/admin/options_name_manager.php?option_page=1&option_order_by=/ [ EXPLOIT ]

Третата закана е ранливост од типот Local File Inclusion (LFI) или File Disclosure (FD) која им овозможува на напаѓачите на локално ниво да вметнуваат или вклучуваат своеволни податоци на локално ниво или гледање на содржински податоци со помош на пропатување низ директориуми (Directory Traversal) и URL енкодирани нулта бајти.
Ранливиот параметар “typefilter” не користи никаква проверка кога вклучува некој податок:

if (isset($_GET[‘typefilter’])) $typefilter = $_GET[‘typefilter’];

Доказ на концепт: http://127.0.0.1/index.php?typefilter=..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Fboot.ini%00

Предупредување: http://www.zeroscience.mk/mk/vulnerabilities/ZSL-2010-4966.php
Предупредување: http://www.zeroscience.mk/mk/vulnerabilities/ZSL-2010-4967.php

Сурови логови од анализата:
LOG1.txt
LOG2.txt
LOG3_with_zc_install_folder.txt
LOG4.txt
LOG5.txt

Анализа на неколку веб апликации

Минатиот викенд преземавме неколку веб апликации, CMS, по случаен избор, за да ги тестираме од ранливости со помош на статична анализа на изворен код. Со неколку алатки за ревизија преземени од листава, успеавме да најдеме неколку ранливости и неколку потенцијални ранливости во следниве веб апликации:

Ez Publish 4.3 (http://www.ez.no)
Bigace 2.7.2 (http://www.bigace.de)
dorcMan 3.0.2 (http://www.dorcman.org)
MySource Matrix 3.28.3 (http://matrix.squiz.net) (закрпено) (ZSL-2010-4962)
Zen Cart 1.3.9f (http://www.zen-cart.com) (закрпа во тек) (ZSL-2010-????)
Textpattern 4.2.0 (http://www.textpattern.com) (ZSL-2010-4963)
Tube Ace 1.5 (http://www.tubeace.com)

Нивото на ризикот од пронајдените ранливости или на оние потенцијалните е некаде од 2 до 3 кадешто 1 е најниското а 5 е највисокото и најопасното ниво :)

Сите апликации се тестирани на следниве платформи:
– Microsoft Windows XP Professional SP3 (EN)
– PHP 5.3.0
– MySQL 5.1.36
– Apache 2.2.11 (Win32)

Од горенаведените апликации, MySource Matrix е закрпена, Zen Cart е во процес на развивање на закрпа, Textpattern – креаторите не одговорија на е-маил и останатите се оние кои содржат потенцијални ранливости.
Беа пронајдени ранливости од типот Persistent и Reflected(Non-Persistent) Cross-Site Scripting, SQL Injection, Local и Remote File Inclusion (LFI/RFI), File Disclosure, Directory Traversal и Denial Of Service (DoS).

За детали на потенцијалните ранливи апликации, ги закачивме необработените логови од анализите:
– Ez Publish (Arbitrary File Event, Potential SQL Error) – Ez_Publish-Audit_Log_1.txt
– Bigace (Potential SQL Error) – Bigace-Audit_Log_1.txt
– dorcMan (Potential SQL Error) – dorcMan-Audit_Log_1.txt
– Tube Ace (Cross-Site Scripting) – Tube_Ace-Audit_Log_1.txt

—–

– MySource Matrix (Cross-Site Scripting) – MySource_Matrix-Audit_Log_1.txt

Останатите апликации кои се со всушност потврдена ранливост беа Zen Cart, MySource Matrix и Textpattern. За Zen Cart нема да дискутираме нити пак да откриваме информации бидејќи се работи на подобрена верзија и секако побезбедна. Ќе биде објавено соодветно безбедносно предупредување откако производителот ќе ја објави подобрената верзија.

Што се однесува до MySource Matrix, веб апликација произведена од компанијата Squiz Pty Ltd. од Австралија. Во соработка со Zero Science Lab, Squiz објави подобрена верзија (3.28.4) во која е закрпена и пронајдената ранливост Cross-Site Scripting.
Се работи за скриптата char_map.php која се наоѓа во “/fudge/wysiwyg/plugins/special_chars/char_map.php” и нејзините 2 параметри “height” и “width” на кои не им се аплицира соодветно санирање односно проверка на внесената вредност пред таа да се врати до корисникот.
Ранливиот код се наоѓа во линиите 182 и 183:

<?php echo $_REQUEST['width'];?>;
<?php echo $_REQUEST['height'];?>;

Со помош на оваа ранливост (Reflected XSS), напаѓачот со различни техники може да го измами корисникот и да дојде до саканите информации во контекст на заразениот сајт.

Брзо решение е да се отстранат двете линии за кои производителот изјави дека и така не вршат некаква си функција.

Textpattern е исто така веб апликација, CMS, произведена од Team Textpattern. Тимот на Textpattern не одговори на нашиот труд за комуникација и решивме да го објавиме наодот според нашата полиса за јавно објавување. Се работи за Cross-Site Scripting ранливоста извршена со помош на NULL Termination.

Ранливоста се наоѓа во Textpattern (TXP) Tag Library (txplib_db.php) преку “q” параметрот со чија помош напаѓачот е во состојба да извршува своеволен HTML или JavaScript код директно во корисничкиот прелистувач и негова сесија со користење на нулта енкодирани стрингови (null byte).

Ранливиот параметар се наоѓа во qParamtxtpattern_locations.txt

Доказ на концепт: http://127.0.0.1/textpattern/?q=%00<script>alert(1)</script>

MySource Matrix 3.28.3 (height) Remote Reflected XSS Vulnerability

Vendor:

Squiz Pty Ltd. – http://www.squiz.net

http://www.matrix.squiz.net/

Summary:

MySource Matrix is a powerful Open Source Content Management System
(CMS) written in PHP and is suitable for many types of organisations.

Description:

Input passed via the “height” parameter to char_map.php is not properly
sanitised before being returned to the user. This can be exploited to execute
arbitrary HTML and script code in a user’s browser session in context of an
affected site.

Tested on:

MS WinXP Pro SP3 (EN)
PHP 5.3.0
MySQL 5.1.36
Apache 2.2.11 (Win32)

Version affected:

3.28.3

Vulnerable lines:

182: // <?php echo $_REQUEST[‘width’];?>;
183: // <?php echo $_REQUEST[‘height’];?>;

Solution:

Existing users can remove the two commented out lines from:
/path/to/matrix/fudge/wysiwyg/plugins/special_chars/char_map.php (lines 182 and 183)

Vendor status:

[05.09.2010] Vulnerability discovered.
[06.09.2010] Vendor contacted.
[06.09.2010] Vendor replied asking details.
[06.09.2010] Sent analysis report to vendor.
[06.09.2010] Vendor verifies vulnerability.
[06.09.2010] Vendor releases fix versions 3.26.8 and 3.28.4.
[06.09.2010] Public advisory released.

Advisory: http://www.zeroscience.mk/mk/vulnerabilities/ZSL-2010-4962.php

Sports Accelerator Suite v2.0 (news_id) Remote SQL Injection Vulnerability

Vendor: Athlete Web Services, Inc. / AWS Sports
Product Web Page: http://www.athletewebservices.com

Summary: Content Management System (PHP+MySQL).

Description: The CMS is vulnerable to an SQL Injection attack when input is passed to the “news_id” parameter. The script fails to properly sanitize the input before being returned to the user allowing the attacker to compromise the entire DB system and view sensitive information.

Details: http://www.zeroscience.mk/mk/vulnerabilities/ZSL-2010-4949.php