J’ai découvert, une vulnérabilité sur core qui permet à un utilisateur non authentifié les attaques suivantes :
Cross-site scripting (XSS) : Création de fausses pages web, insertion de javascript, redirection
Inclusion de fichiers locaux (LFI) : Lancement de fichiers normalement non autorisés à un utilisateur non authentifié. Par exemple lancement d’anciennes mises à jour Jeedom.
Merci aux équipes Jeedom de me contacter à l’adresse mail de ce compte ou en réponse au message twitter envoyé hier pour les détails techniques.
qu’en est-il des systèmes moins mis à jour ? avez vous un moyen de pousser (forcer) la mise à jour sur tous les jeedom ? étant donné que le commit log est publique, il y a moyen d’utiliser la faille maintenant…
poussez en stable au plus vite svp… maintenant que l’explication est publique
