Several vulnerabilities were discovered in Mahara, an electronic portfolio, weblog, and resume builder. The Common Vulnerabilities and Exposures project identifies the following problems :

  - CVE-2011-1402     It was discovered that previous versions of Mahara did     not check user credentials before adding a secret URL to     a view or suspending a user.

  - CVE-2011-1403     Due to a misconfiguration of the Pieform package in     Mahara, the cross-site request forgery protection     mechanism that Mahara relies on to harden its form was     not working and was essentially disabled. This is a     critical vulnerability which could allow attackers to     trick other users (for example administrators) into     performing malicious actions on behalf of the attacker.
    Most Mahara forms are vulnerable.

  - CVE-2011-1404     Many of the JSON structures returned by Mahara for its     AJAX interactions included more information than what     ought to be disclosed to the logged in user. New     versions of Mahara limit this information to what is     necessary for each page.

  - CVE-2011-1405     Previous versions of Mahara did not escape the contents     of HTML emails sent to users. Depending on the filters     enabled in one's mail reader, it could lead to     cross-site scripting attacks.

  - CVE-2011-1406     It has been pointed out to us that if Mahara is     configured (through its wwwroot variable) to use HTTPS,     it will happily let users login via the HTTP version of     the site if the web server is configured to serve     content over both protocol. The new version of Mahara     will, when the wwwroot points to an HTTPS URL,     automatically redirect to HTTPS if it detects that it is     being run over HTTP.

  We recommend that sites wanting to run Mahara over HTTPS make sure   that their web server configuration does not allow the serving of   content over HTTP and merely redirects to the secure version. We   also suggest that site administrators consider adding the HSTS   headers to their web server configuration.

いくつかの脆弱性が、電子的ポートフォリオ、ブログおよびレジュメビルダーである Mahara で発見されました。Common Vulnerabilities and Exposuresプロジェクトは次の問題を特定しています：

  - CVE-2011-1402 Mahara の以前のバージョンでは、ユーザーを表示または一時停止するための秘密の URL を追加する前に、ユーザー認証情報をチェックしないことが判明しました。

  - CVE-2011-1403 Mahara の Pieform パッケージの構成の誤りのために、そのフォームを強化するために Mahara が依存している、クロスサイトリクエスト偽造保護機構が機能せず、本質的に無効化されていました。これは重大な脆弱性であり、攻撃者が他のユーザー（管理者など）を騙して、攻撃者に代わって悪意のある動作を実行させる可能性があります。
    ほとんどの Mahara フォームは脆弱です。

  - CVE-2011-1404 その AJAX インタラクションのために Mahara から戻される JSON 構造体の多くには、ログインユーザーに開示するべきものを超える情報が含まれています。Mahara の新バージョンでは、この情報が各ページで必要なものに制限されます。

  - CVE-2011-1405 Mahara の以前のバージョンでは、ユーザーに送信される HTML 電子メールの内容をエスケープしませんでした。ユーザーのメールリーダーで有効にされたフィルターによっては、クロスサイトスクリプティング攻撃につながる可能性があります。

  - CVE-2011-1406 Mahara が HTTPS を使用するように（その wwwroot 変数を介して）構成されている場合でも、Web サーバーが両方のプロトコルでコンテンツを表示するように構成されている場合、HTTP バージョンを介してユーザーにログインするように勧めることが、我々に指摘されました。Mahara の新しいバージョンは、wwwroot が HTTPS URL を指し示す際には、HTTP 上で実行されていることが検出された場合、自動的に HTTPS にリダイレクトします。

  HTTPS で Mahara を実行しようとするサイトでは、コンテンツを HTTP 上で提供せず、セキュアバージョンにリダイレクトするように Web サーバーの構成を設定することをお勧めします。サイト管理者が Web サーバー構成に HSTS ヘッダーを追加することを考慮することも、我々は提案します。

在電子公事包、網誌和履歷製作工具 Mahara 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題：

- CVE-2011-1402 據發現，先前版本的 Mahara 在新增機密 URL 至檢視或暫停使用者之前，並未先檢查使用者認證。

- CVE-2011-1403 由於 Mahara 中的 Pieform 套件的錯誤組態，Mahara 仰賴用來強化其表單的跨網站要求偽造保護機制並未運作，且基本上已停用。這是一個重大弱點，可讓攻擊者誘騙其他使用者 (例如系統管理員) 代表攻擊者執行惡意動作。
 多數 Mahara 表單皆容易受影響。

- CVE-2011-1404 Mahara 針對其 AJAX 互動所傳回的許多 JSON 結構包含的資訊比應該揭露給已登入使用者的資訊更多。新版的 Mahara 會將此資訊限制為每頁必要資訊。

- CVE-2011-1405 先前版本的 Mahara 並未逸出傳送給使用者的 HTML 電子郵件內容。根據使用者郵件閱讀器啟用的篩選器而定，這可導致跨網站指令碼攻擊。

- CVE-2011-1406 有人向我們指出，如果 Mahara (透過其 wwwroot 變數) 設定為使用 HTTPS，加上如果 web 伺服器設定為透過兩個通訊協定提供內容，恰好可讓使用者透過網站的 HTTP 版本登入。當 wwwroot 指向 HTTPS URL 時，如果 Mahara 偵測到正在透過 HTTP 執行時，則新版的 Mahara 將會自動重新導向到 HTTPS。

我們建議，需要透過 HTTPS 執行 Mahara 的網站確認其 web 伺服器組態未允許透過 HTTP 提供內容，而且僅重新導向到安全版本。我們也建議網站系統管理員考慮新增 HSTS 標頭至其 web 伺服器組態中。

在 Mahara（一款电子产品组合、网络博客和简历生成器）中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2011-1402 已发现之前版本的 Mahara 在添加秘密 URL 到视图或暂停用户之前，并未先检查用户凭据。

- CVE-2011-1403 由于 Mahara 中 Pieform 程序包的错误配置，Mahara 用于强化其表单的跨站请求伪造保护机制并未运作，且基本上已禁用。这是一个危急漏洞，可允许攻击者诱骗其他用户（例如系统管理员）代表攻击者执行恶意操作。
 许多 Mahara 表单皆容易受影响。

- CVE-2011-1404 Mahara 针对其 AJAX 互动所返回的许多 JSON 结构包含的信息比应该揭露给已登录用户的信息更多。新版的 Mahara 将此信息限制为每页必需的信息。

- CVE-2011-1405 之前版本的 Mahara 并未转义发送给用户的 HTML 电子邮件的内容。视用户邮件阅读器上启用的过滤器而定，这可导致跨站脚本攻击。

- CVE-2011-1406 有人向我们指出，如果 Mahara（通过其 wwwroot 变量）配置为使用 HTTPS，则可让用户通过该站点的 HTTP 版本轻松登录，条件是 Web 服务器配置为通过两个协议提供内容。当 wwwroot 指向 HTTPS URL 时，如果新版的 Mahara 检测到其正在通过 HTTP 运行，则会自动重定向到 HTTPS。

我们建议，需要通过 HTTPS 运行 Mahara 的站点确保其 Web 服务器配置未允许通过 HTTP 提供内容，而且仅重定向到安全版本。我们也建议站点系统管理员考虑添加 HSTS 标头至其 Web 服务器配置中。

ID	名稱	產品	系列	已發布	已更新	嚴重性
55034	Debian DSA-2246-1 : mahara - several vulnerabilities	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
55034	Debian DSA-2246-1：mahara - 複数の脆弱性	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
55034	Debian DSA-2246-1 : mahara - 數個弱點	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium
55034	Debian DSA-2246-1：mahara - 多个漏洞	Nessus	Debian Local Security Checks	2011/6/10	2021/1/4	medium

偵測

搜尋 Plugin

medium

medium

medium

medium