XSS over MIME Sniffing bei phpBB nicht möglich
Verfasst: 03.06.2009 15:06
Jacques Copeau hat bekannte Forensysteme auf Anfälligkeit für MIME/Content-Type-Sniffing überprüft. Wie der Titel schon sagt, sind die phpBB Versionen 2.0.23 und 3.0.4 (wohl somit auch 3.0.5) für solche Attacken nicht anfällig.
Grüße,
Tekin
Die komplette Meldung könnt ihr auf der Quelle (Securityfocus) nachlesen.phpBB2 was found not to be vulnerable, as it does only allows files of the types
png, gif and jpeg. For all these filestypes, the software sends correct headers.
phpBB3 has a far more flexible upload system, but uses both comprehensive
blacklisting and upload validation to guard against issues. We were not able to
exploit IE mime sniffing within phpBB3.
Grüße,
Tekin