Уразливості в численних веб додатках з VideoJS

23:55 08.05.2013

У лютому, 07.02.2013, я виявив Cross-Site Scripting уразливості в численних веб додатках з VideoJS. Про що вже сповістив розробників п’яти наведених програм.

Раніше я писав про уразливості в VideoJS. Це дуже поширена флешка, що знаходиться на сотнях тисяч веб сайтів і яка використовується в багатьох веб додатках.

Зокрема в VideoJS - HTML5 Video Player for WordPress, Video.js for Drupal, bo:VideoJS for Joomla, videojs-youtube, Telemeta (CMS). Та в багатьох інших веб додатках. Розробники VideoJS минулого тижня випустили оновлення свого плеєра і всім розробникам веб додатків з VideoJS потрібно його оновити в своїх додатках.

Cross-Site Scripting (WASC-08):

VideoJS - HTML5 Video Player for WordPress:

http://site/wp-content/plugins/videojs-html5-video-player-for-wordpress/videojs/video-js.swf?readyFunction=alert(document.cookie)

Video.js for Drupal:

http://site/sites/all/libraries/video-js/video-js.swf?readyFunction=alert(document.cookie)

bo:VideoJS for Joomla:

http://site/plugins/content/bo_videojs/video-js/video-js.swf?readyFunction=alert(document.cookie)

videojs-youtube:

http://site/lib/video-js.swf?readyFunction=alert(document.cookie)

Telemeta:

http://site/htdocs/video-js/video-js.swf?readyFunction=alert(document.cookie)

Вразливі веб додатки, що використовують VideoJS Flash Component 3.0.2 і попередні версії. Версія VideoJS Flash Component 3.0.2 не вразлива до згаданої XSS дірки, але вразлива до XSS через JS калбеки (подібно до JW Player). А також є обхідні методи, що працюють в останній версії, але розробники не виправили їх через їхній невеликий вплив. Тому розробникам веб додатків з VideoJS потрібно оновити його до останньої версії.

Вразливі наступні веб додатки: VideoJS - HTML5 Video Player for WordPress 3.2.3 і попередні версії, Video.js for Drupal 6.x-2.2 і попередні 6.x-2.x версії та 7.x-2.2 і попередні 7.x-2.x версії, bo:VideoJS for Joomla 2.1.1 і попередні версії (з VideoJS Flash Component), videojs-youtube (всі версії), Telemeta 1.4.4 і попередні версії.


Leave a Reply

You must be logged in to post a comment.