בעיות אבטחה במערכת הפורומים YaBB

בעיות אבטחה במערכת הפורומים YaBB

מסמך זה מתאר בעיות אבטחה שנמצאו על ידי המחברים במערכת הפורומים הפופולרית YaBB. (נבדק על YaBB 1.4.0 & 1.4.1). מסמך זה הוא תרגום של המסמך המקורי באנגלית, שהופץ באתרים השונים ברחבי העולם. ידע קודם נדרש:

• שליטה ב-ASP וב-HTML.
• הכרת פרוטוקול HTTP.

תקציר

מערכת הפורומים של YaBB היא מערכת חי

נמית המאפשרת למנהלי אתרים להוסיף פורומים מבוססי PHP לאתר שלהם. שתי בעיות אבטחה במוצר מאפשרות לתוקף לגנוב את ה-cookie של משתמשי הפורום, וכן להשתמש ב-cookie על מנת לגנוב חשבונות משתמשים בפורום ועוד.

הבעיות הנדונות במסמך זה:

1. XSS Vulnerability בתהליך ההתחברות (logon) אל המערכת.

2. שיטה לא בטוחה לעדכון פרופיל המשתמש במערכת.