| Title | ownCloud におけるクロスサイトリクエストフォージェリの脆弱性 |
|---|---|
| Summary | ownCloud には、クロスサイトリクエストフォージェリの脆弱性が存在します。 |
| Possible impacts | 第三者により、下記のファイルへのリクエストに対する任意のユーザ認証をハイジャックされる可能性があります。 bookmarks/ajax/ 内の以下のファイル (1) addBookmark.php、(2) delBookmark.php、(3) editBookmark.php calendar/ajax/ 内の以下のファイル (4) calendar/delete.php、(5) calendar/edit.php、(6) calendar/new.php、(7) calendar/update.php、 (8) event/delete.php、(9) event/edit.php、(10) event/move.php、(11) event/new.php、(12) import/import.php、(13) settings/setfirstday.php、(14) settings/settimeformat.php、(15) share/changepermission.php、(16) share/share.php、(17) share/unshare.php apps/ 内の以下のファイル (18) external/ajax/setsites.php、(19) files/ajax/delete.php、(20) files/ajax/move.php、(21) files/ajax/newfile.php、(22) files/ajax/newfolder.php、(23) files/ajax/rename.php、(24) files_sharing/ajax/email.php、(25) files_sharing/ajax/setpermissions.php、(26) files_sharing/ajax/share.php、(27) files_sharing/ajax/toggleresharing.php、(28) files_sharing/ajax/togglesharewitheveryone.php、(29) files_sharing/ajax/unshare.php、(30) files_texteditor/ajax/savefile.php、(31) files_versions/ajax/rollbackVersion.php、(32) gallery/ajax/createAlbum.php、(33) gallery/ajax/sharing.php、(34) tasks/ajax/addtask.php、(35) tasks/ajax/addtaskform.php、(36) tasks/ajax/delete.php、(37) tasks/ajax/edittask.php また、下記のファイルへのリクエストに対する管理者認証をハイジャックされる可能性があります。 settings/ajax/ 内の以下のファイル (38) changepassword.php、(39) creategroup.php、(40) createuser.php、(41) disableapp.php、(42) enableapp.php、(43) lostpassword.php、(44) removegroup.php、(45) removeuser.php、(46) setlanguage.php、(47) setloglevel.php、(48) setquota.php、(49) togglegroups.php |
| Solution | ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | Aug. 1, 2012, midnight |
| Registration Date | Sept. 7, 2012, 4:17 p.m. |
| Last Update | Dec. 19, 2012, 2:16 p.m. |
| CVSS2.0 : 警告 | |
| Score | 6.8 |
|---|---|
| Vector | AV:N/AC:M/Au:N/C:P/I:P/A:P |
| ownCloud |
| ownCloud 4.0.6 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 0 | [2012年09月07日] 掲載 [2012年12月19日] ベンダ情報：ownCloud (Several CSRF security fixes (CVE-2012-4393)) を追加 |
Feb. 17, 2018, 10:37 a.m. |
| Summary | Multiple cross-site request forgery (CSRF) vulnerabilities in ownCloud before 4.0.6 allow remote attackers to hijack the authentication of arbitrary users for requests that use (1) addBookmark.php, (2) delBookmark.php, or (3) editBookmark.php in bookmarks/ajax/; (4) calendar/delete.php, (5) calendar/edit.php, (6) calendar/new.php, (7) calendar/update.php, (8) event/delete.php, (9) event/edit.php, (10) event/move.php, (11) event/new.php, (12) import/import.php, (13) settings/setfirstday.php, (14) settings/settimeformat.php, (15) share/changepermission.php, (16) share/share.php, (17) or share/unshare.php in calendar/ajax/; (18) external/ajax/setsites.php, (19) files/ajax/delete.php, (20) files/ajax/move.php, (21) files/ajax/newfile.php, (22) files/ajax/newfolder.php, (23) files/ajax/rename.php, (24) files_sharing/ajax/email.php, (25) files_sharing/ajax/setpermissions.php, (26) files_sharing/ajax/share.php, (27) files_sharing/ajax/toggleresharing.php, (28) files_sharing/ajax/togglesharewitheveryone.php, (29) files_sharing/ajax/unshare.php, (30) files_texteditor/ajax/savefile.php, (31) files_versions/ajax/rollbackVersion.php, (32) gallery/ajax/createAlbum.php, (33) gallery/ajax/sharing.php, (34) tasks/ajax/addtask.php, (35) tasks/ajax/addtaskform.php, (36) tasks/ajax/delete.php, or (37) tasks/ajax/edittask.php in apps/; or administrators for requests that use (38) changepassword.php, (39) creategroup.php, (40) createuser.php, (41) disableapp.php, (42) enableapp.php, (43) lostpassword.php, (44) removegroup.php, (45) removeuser.php, (46) setlanguage.php, (47) setloglevel.php, (48) setquota.php, or (49) togglegroups.php in settings/ajax/. |
|---|---|
| Publication Date | Sept. 6, 2012, 8:55 a.m. |
| Registration Date | Jan. 28, 2021, 3:03 p.m. |
| Last Update | Nov. 21, 2024, 10:42 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:owncloud:owncloud:4.0.3:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:4.0.0:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:3.0.3:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:*:*:*:*:*:*:*:* | 4.0.5 | ||||
| cpe:2.3:a:owncloud:owncloud:4.0.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:4.0.2:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:3.0.0:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:3.0.2:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:4.0.4:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:owncloud:owncloud:3.0.1:*:*:*:*:*:*:* | |||||