FCKeditor connectors模塊多個(gè)跨站腳本及目錄遍歷漏洞
影響版本:
FCKeditor <= 2.6.4漏洞描述:
CVE(CAN) ID: CVE-2009-2324,CVE-2009-2265
FCKeditor是一款開放源碼的HTML文本編輯器。
FCKeditor沒有正確地驗(yàn)證用戶對(duì)多個(gè)connector模塊所傳送的輸入,遠(yuǎn)程攻擊者可以利用samples目錄中的組件注入任意腳本或HTML,或通過目錄遍歷攻擊上傳惡意文件。
<*參考 http://marc.info/?l=bugtraq&m=124663715616221&w=2 *>
SEBUG安全建議:
* 從editor\filemanager\connectors中刪除不使用的連接器
* 在config.ext中禁用文件瀏覽器
* 完全刪除_samples目錄
廠商補(bǔ)丁:
FCKeditor
目前廠商還沒有提供補(bǔ)丁或者升級(jí)程序,我們建議使用此軟件的用戶隨時(shí)關(guān)注廠商的主頁以獲取最新版本:
http://www.fckeditor.net/
【編輯推薦】



















