Description d’origine
The libxslt support in contrib/xml2 in PostgreSQL 8.3 before 8.3.20, 8.4 before 8.4.13, 9.0 before 9.0.9, and 9.1 before 9.1.5 does not properly restrict access to files and URLs, which allows remote authenticated users to modify data, obtain sensitive information, or trigger outbound traffic to arbitrary external hosts by leveraging (1) stylesheet commands that are permitted by the libxslt security options or (2) an xslt_process feature, related to an XML External Entity (aka XXE) issue.
Logiciels concernés
- PostgreSQL = 9.0.3= 9.0= 8.3.8= 8.4.8= 8.4.6= 8.3.16 correspondance exacte
Détails
- Publication
- 2012-10-04
- Dernière modification
- 2024-08-07
- Vecteur CVSS
AV:N/AC:M/Au:S/C:P/I:P/A:N
Références
- cve.org/CVE-2012-3488
- nvd.nist.gov/vuln/detail/CVE-2012-3488
- rhn.redhat.com/errata/RHSA-2012-1263.html
- www.postgresql.org/docs/9.0/static/release-9-0-9.html
- www.mandriva.com/security/advisories?name=MDVSA-2012:139
- secunia.com/advisories/50636
- bugzilla.redhat.com/show_bug.cgi?id=849172
- www.ubuntu.com/usn/USN-1542-1
- secunia.com/advisories/50718
- www.postgresql.org/docs/9.1/static/release-9-1-5.html
- blogs.oracle.com/sunsecurity/entry/multiple_vulnerabilities_in_postgresql2
- www.postgresql.org/docs/8.4/static/release-8-4-13.html
- www.postgresql.org/docs/8.3/static/release-8-3-20.html
- www.postgresql.org/about/news/1407/
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.