XSS Sicherheitslücken

[ssrahn]

• Rich-Text-Editor
  • zB im Forum beim Verfassen von Einträgen
  • Über "OpenCast-Video" Knopf lässt sich Video hinzufügen
  • Dialog ist XSS anfällig
  • Beim Namen der Aufzeichnung und der Serie
• clear_series_action in admin/controller
  • Serien-Titel werden ungefiltert ausgegeben
• remove_episode_action
  • Aufzeichnungen anderer Veranstaltung können womöglich auch gelöscht werden
  • Berechtigung wird nur für Serie und nicht für Aufzeichnung geprüft
• "Aufzeichnung planen"
  • Gibt bei "Titel" das im Ablaufplan hinterlegte Thema ungefiltert aus
• "Medien hochladen"
  • Gibt den eigenen Namen ungefiltert aus
  • steht im value-Attribut eines inputs, das man mit ">" erst mal verlassen muss und dann kann man ein Skript platzieren
• Möglicherweise werden Workflownamen und Capture-Agent-Namen ungefiltert ausgegeben

[tgloeggl]

Im embed-Dialog könnte es noch Lücken geben