Problema de seguridad en Guarani3W

SIU-Guaraní SIU-Guaraní 2 - Técnicos
1

A través de los reportes que se generan por Simos (Arcert) se detectó que existe la posibilidad de ejecutar scripts desde la URL.
Ejemplo: http://dominio_guarani/notificarse.php?fStatus=-1&fueraFrameSet=1&fMsg=
Para solucionar este inconveniente, editamos notificarse.php, aplicando sobre la variable que muestra el mensaje, la función htmlspecialchars() que evita que el script introducido por el usuario sea interpretado como código HTML, es decir lo toma como texto.
Reemplazamos echo $fMsg; por echo htmlspecialchars($fMsg);

Quizá haya otra alternativa de solución, esperamos la compartan.

Saludos, Flavia

2

Hola Flavia:

En que versión estás viendo esto?

Eso se corrigió en la version 2.6.2 no permitiendo que la pagina reciba la información sin encriptar excepto el caso de la caducidad de la sesion.

Emilio

3

Estamos en la versión 2.6.1.

Gracias!! Flavia

4

En esa version es esa funcion o htmlentities.

El trabajo que se hizo para la 2.6.2 fue modificar todas las paginas que llaman a notificarse para que pasen los argumentos encriptados en el qs=…

Notificarse no busca mas ese argumento y por lo tanto no podrá inyectarse código de esa manera.

Emilio