4images [all]: XSS vulnerability

[Hellraider]

Dear 4homepages forum member and 4images user,

there was found a moderately critical cross-site scripting
vulnerability in all versions of 4images (v1.7 - v1.7.3) that can
compromise your 4images gallery.

Please follow the link below and apply the patch as soon as possible:
www.4homepages.de/forum/index.php?topic=15042.0


Regards,
Your 4images Team.

www.4homepages.de
www.4homepages.de/forum/


Es wird dringend empfohlen, diesen Bugfix einzubauen!

[yaku]

Hier in deutsch:

Re: [1.7 - 1.7.3] Security fix for Cross-Site Scripting Vulnerability
« Reply #20 on: October 21, 2006, 11:13:27 PM »

--------------------------------------------------------------------------------
damit wird eine sicherheits lücke geschlossen

wenn du v 1.7.2 oder 1.7.3 hast
öffne global.php und suche nach

Code:
$mode = (isset($HTTP_POST_VARS['mode'])) ? stripslashes(trim($HTTP_POST_VARS['mode'])) : stripslashes(trim($HTTP_GET_VARS['mode']));

oder wenn du 1.7 bis 1.7.1 hast
suche nach

Code:
$mode = (isset($HTTP_GET_VARS['mode'])) ? stripslashes(trim($HTTP_GET_VARS['mode'])) : stripslashes(trim($HTTP_POST_VARS['mode']));

gleich drunter füge diese zeile ein


Code:
$mode = preg_replace("/[^a-z0-9]+/i", "", $mode);

Ein paar Beiträge später.
Ist einfach, denn ich habe es auch begriffen. :oops: