Bug 20137

Summary: XSS vulnerability in repocop page
Product: Infrastructure Reporter: Vladimir Lettiev <crux>
Component: sisyphus.ruAssignee: liks <liks>
Status: CLOSED FIXED QA Contact: Mikhail Gusarov <dottedmag>
Severity: minor    
Priority: P3 CC: ktirf, php-coder
Version: unspecifiedKeywords: security
Hardware: all   
OS: Linux   
URL: http://www.sisyphus.ru/srpm/Sisyphus/subversion/repocop
Attachments:
Description Flags
фильтрация спец-символов в выводе none

Description Vladimir Lettiev 2009-05-22 10:40:44 MSD 
Created attachment 3552 [details]
фильтрация спец-символов в выводе

На странице пакета на вкладке repocop выводится список сообщений тестов repocop для пакета, при этом вывод этих сообщений не фильтруется на предмет наличия спец-символов: < > &
Например, такой тест, как unsafe-tmp-usage-in-scripts в своём выводе содержит куски кода из sh-скриптов пакета, что теоретически позволяет путём "нечаянного" создания специально-сформированного sh-скрипта в исходниках пакета провести XSS-атаку ;)
Comment 1 liks 2009-05-31 22:14:34 MSD 
Патч приложен. Спасибо.

2 dottedmag: а разве баги, помеченные как security, не должны быть скрыты от общественности?
Comment 2 Mikhail Gusarov 2009-05-31 22:16:29 MSD 
Keyword security - это просто keyword. Для скрытия надо было при загоне бага нажать на галочку "Security Group" (и тогда keyword бы доставился автоматически).

Увы, это багзилла.
Comment 3 Vladimir Lettiev 2009-06-03 09:38:29 MSD 
ок, закрываю.