Vulnerabilidad en el componente xforms-server en Orbeon Forms (CVE-2010-3260)
Gravedad CVSS v2.0:
MEDIA
Tipo:
CWE-264
Permisos, privilegios y/o control de acceso
Fecha de publicación:
27/04/2011
Última modificación:
19/07/2011
Descripción
oxf/xml/xerces/XercesSAXParserFactoryImpl.java en el componente xforms-server en el servicio XForms en Orbeon Forms before v3.9 no restringe adecuadamente las peticiones Ajax a DTDs, lo que permite a atacantes remotos la lectura de archivos de su elección o el envío de peticiones HTTP a servidores de la intranet a través de una declaración de entidad junto con una referencia a entidad. Relacionado con la cuestión "inyección XML).
Impacto
Puntuación base 2.0
6.40
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:orbeon:forms:*:*:*:*:*:*:*:* | 3.8.1 (incluyendo) | |
| cpe:2.3:a:orbeon:forms:1.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:2.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:2.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:2.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:2.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:2.6:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:2.7:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:2.8:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:3.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:3.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:3.6:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:3.7.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:orbeon:forms:3.8:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página