Problema de seguridad en Guarani3W

A través de los reportes que se generan por Simos (Arcert) se detectó que existe la posibilidad de ejecutar scripts desde la URL.
Ejemplo: http://dominio_guarani/notificarse.php?fStatus=-1&fueraFrameSet=1&fMsg=
Para solucionar este inconveniente, editamos notificarse.php, aplicando sobre la variable que muestra el mensaje, la función htmlspecialchars() que evita que el script introducido por el usuario sea interpretado como código HTML, es decir lo toma como texto.
Reemplazamos echo $fMsg; por echo htmlspecialchars($fMsg);

Quizá haya otra alternativa de solución, esperamos la compartan.

Saludos, Flavia

Hola Flavia:

En que versión estás viendo esto?

Eso se corrigió en la version 2.6.2 no permitiendo que la pagina reciba la información sin encriptar excepto el caso de la caducidad de la sesion.

Emilio

Estamos en la versión 2.6.1.

Gracias!! Flavia

En esa version es esa funcion o htmlentities.

El trabajo que se hizo para la 2.6.2 fue modificar todas las paginas que llaman a notificarse para que pasen los argumentos encriptados en el qs=…

Notificarse no busca mas ese argumento y por lo tanto no podrá inyectarse código de esa manera.

Emilio