20137 2009-05-22 10:40:44 +0400 XSS vulnerability in repocop page 2009-06-03 09:38:29 +0400 1 1 2 Infrastructure Infrastructure sisyphus.ru unspecified all Linux CLOSED FIXED http://www.sisyphus.ru/srpm/Sisyphus/subversion/repocop security P3 minor --- 1 crux liks ktirf php-coder dottedmag oldest_to_newest 91623 0 3552 crux 2009-05-22 10:40:44 +0400 Created attachment 3552 фильтрация спец-символов в выводе На странице пакета на вкладке repocop выводится список сообщений тестов repocop для пакета, при этом вывод этих сообщений не фильтруется на предмет наличия спец-символов: < > & Например, такой тест, как unsafe-tmp-usage-in-scripts в своём выводе содержит куски кода из sh-скриптов пакета, что теоретически позволяет путём "нечаянного" создания специально-сформированного sh-скрипта в исходниках пакета провести XSS-атаку ;) 92162 1 liks 2009-05-31 22:14:34 +0400 Патч приложен. Спасибо. 2 dottedmag: а разве баги, помеченные как security, не должны быть скрыты от общественности? 92163 2 dottedmag 2009-05-31 22:16:29 +0400 Keyword security - это просто keyword. Для скрытия надо было при загоне бага нажать на галочку "Security Group" (и тогда keyword бы доставился автоматически). Увы, это багзилла. 92353 3 crux 2009-06-03 09:38:29 +0400 ок, закрываю. 3552 2009-05-22 10:40:44 +0400 2009-05-22 10:40:44 +0400 фильтрация спец-символов в выводе srpm.pl_repocopmsg.htf.diff text/plain 280 crux LS0tIHNycG0ucGxfcmVwb2NvcG1zZy5odGYub2xkCTIwMDktMDUtMjIgMTA6Mzc6MjEuMDAwMDAw MDAwICswNDAwCisrKyBzcnBtLnBsX3JlcG9jb3Btc2cuaHRmCTIwMDktMDUtMjIgMTA6Mzc6MzMu MDAwMDAwMDAwICswNDAwCkBAIC03LDYgKzcsNiBAQAogPC90ZD48dGQ+CiAJJXRlc3RuYW1lJQog PC90ZD48dGQgc3R5bGU9InRleHQtYWxpZ246bGVmdCI+Ci0JJW1lc3NhZ2UlCisJJW1lc3NhZ2Ug aCUKIDwvdGQ+Ci08L3RyPgpcIE5vIG5ld2xpbmUgYXQgZW5kIG9mIGZpbGUKKzwvdHI+Cg==