p PatchFirst

CVE-2014-4172

CVE-2014-4172

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

A URL parameter injection vulnerability was found in the back-channel ticket validation step of the CAS protocol in Jasig Java CAS Client before 3.3.2, .NET CAS Client before 1.0.2, and phpCAS before 1.3.3 that allow remote attackers to inject arbitrary web script or HTML via the (1) service parameter to validation/AbstractUrlBasedTicketValidator.java or (2) pgtUrl parameter to validation/Cas20ServiceTicketValidator.java.

CVSS 9.8 · Critique · EPSS 6,1% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · php

Produits et versions concernés

  • n/a

    Versions du logiciel
    • n/a: Concernée

    Aucun correctif publié

  • php-cas Debian:12

    Plages de versions concernées
    • ECOSYSTEM: < 1.3.3-1

    Mettez à jour vers 1.3.3-1

  • php-cas Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 1.3.3-1

    Mettez à jour vers 1.3.3-1

  • php-cas Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 1.3.3-1

    Mettez à jour vers 1.3.3-1

  • dotnetcasclient NuGet

    Versions du logiciel
    • 1.0.0
    • 1.0.1
    Plages de versions concernées
    • ECOSYSTEM: < 1.0.2

    Mettez à jour vers 1.0.2

  • org.jasig.cas:cas-client Maven

    Versions du logiciel
    • 3.0
    • 3.0-rc1
    • 3.0-rc2
    • 3.1
    • 3.1-M1
    • 3.1-RC1
    • 3.1-RC2
    • 3.1-RC3
    • 3.1.1
    • 3.1.10
    • 3.1.2
    • 3.1.3
    • 3.1.3-rc1
    • 3.1.3-rc2
    • 3.1.3-rc3
    • 3.1.4
    • 3.1.5
    • 3.1.6
    • 3.1.7
    • 3.1.8
    • 3.1.9
    Plages de versions concernées
    • ECOSYSTEM: < 3.3.2

    Mettez à jour vers 3.3.2

  • jasig/phpcas Packagist

    Plages de versions concernées
    • ECOSYSTEM: < 1.3.3

    Mettez à jour vers 1.3.3

Sources originales

Vérifiez votre serveur →