Prilikom upotrebe programskog paketa Public Knowledge Project Open Journal Systems uočeni su višestruki propusti. Radi se o sustavu za upravljanje tekstovima i objavljivanje časopisa. Spomenute ranjivosti posljedica su neispravne provjere ulaznih podataka predanih putem funkcije "String::stripUnsafeHtml()" i putem parametara: "editor", "callback", "articleId" raznim datotekama. Napadači ranjivosti mogu iskoristiti za pokretanje proizvoljnog PHP, HTML ili skriptnog koda te za upravljanje određenim datotekama. Svim se korisnicima preporuča upotreba odgovarajuće nadogradnje.

_______________________________________________________________________________

ID upozorenja: ADV-LSS-2012-03-021
Naslov: Više propusta vezanih uz Public Knowledge Project Open Journal Systems Systems
Datum: 2012-03-28
OS: Windows, Linux, Mac OS, FreeBSD, Solaris 
Programski paket: Public Knowledge Project Open Journal Systems
Tip sigurnosnog problema: pokretanje proizvoljnog PHP koda, XSS napad, pregled/izmjena podataka
Rizik: Velik
_______________________________________________________________________________

[1]  Uvod

U radu paketa Public Knowledge Project Open Journal Systems uoceni su visestruki problemi. 

Open Journal Systems je sustav za upravljanje i objavljivanje casopisa, razvijen od strane 
Public Knowledge Project. 

Bitnije od njegovih karakteristika su:
- napisan je u jeziku PHP, a podrzava baze MySQL, Apache i PostgreSQL,
- mogucnost slanja e-mail obavijesti korisnicima,
- modul za pretplate, 
- indeksiranje sadrzaja, 
- ima online sustav pomoci i dr.

Vise informacija dostupno je na sljedecoj adresi:

http://pkp.sfu.ca/?q=ojs

-------------------------------------------------------------------------------

[2]  Sigurnosni problem

Visestruki propusti uoceni u radu paketa Open Journal Systems napadacima omogucuju 
izvodjenje XSS (eng. cross-scripting) napada, manipulaciju podacima i izvrsavanje proizvoljnog PHP koda.

-------------------------------------------------------------------------------

[3]  Sigurnosna zastita

Svim se korisnicima preporuca nadogradnja na inacicu 2.3.7.

-------------------------------------------------------------------------------

[4]  Analiza

* Ulazni podaci nisu ispravno provjereni u funkciji "String::stripUnsafeHtml()", odnosno u datoteci lib/pkp/classes/core/String.inc.php prije koristenja. Napadaci to mogu iskoristiti za 
XSS napad.

* IduÄ