[02-09-2005] HTML/TXT инъекция через прикрепляемые файлы и XSS инъекция в BB Codes

Уязвимость возникает из-за того что Invision Power Board позволяет пользователю загрузить HTML или TXT файл, содержащий JavaScript. Данный скрипт срабатвает при открытии прикрепления пользователем, так как это происходит в контексте браузерной сессии это позволяет злоумышленнику получить всю информацию о данной сессии.

Так же обнаружена проблема с возможностью инъекций JavaScript в созданные BB Коды форума.

Пример/Эксплоит: Нет

Исправление:
Открыть файл ./sources/lib/post_parser.php, найти:

 if ( is_array( $ibforums->cache['bbcode'] ) and count( $ibforums->cache['bbcode'] ) )
 {

Добавить после:

# XSS Clean
  $t = preg_replace( "#javascript\:#is", "java script:", $t );
  $t = str_replace(  "`"               , "&#96;"       , $t );

Изменение MIME-типов:
Мы так же рекомендуем Вам изменить MIME-типы некоторых опасных файлов, которые разрешены на форуме для прикрепления.
Что необходимо проделать:

Войти в Админцентр
Воспользоваться группой настроек Прикрепляемые файлы → Типы прикрепляемых файлов
Отредактировать опции для файлов ».htm», ».html», ».txt», ».rtf», выставив в поле «MIME-тип файла» значение «unknown/unknown» (без кавычек)

Так же можно воспользоваться готовыми файлами. В архиве сохранена структура файлов для простоты использования. Делать это стоит только в том случае, если не было произведено никаких изменений в этих файлах.