MoinMoin 'AttachFile.py' Cross-Site Scripting Vulnerability

Bugtraq ID:	33365
Class:	Input Validation Error
CVE:	CVE-2009-0260
Remote:	Yes
Local:	No
Published:	Jan 20 2009 12:00AM
Updated:	Apr 13 2015 10:00PM
Credit:	SecureState R&D Team (sasquatch)
Vulnerable:	Ubuntu Ubuntu Linux 8.10 sparc Ubuntu Ubuntu Linux 8.10 powerpc Ubuntu Ubuntu Linux 8.10 lpia Ubuntu Ubuntu Linux 8.10 i386 Ubuntu Ubuntu Linux 8.10 amd64 Ubuntu Ubuntu Linux 8.04 LTS sparc Ubuntu Ubuntu Linux 8.04 LTS powerpc Ubuntu Ubuntu Linux 8.04 LTS lpia Ubuntu Ubuntu Linux 8.04 LTS i386 Ubuntu Ubuntu Linux 8.04 LTS amd64 Ubuntu Ubuntu Linux 7.10 sparc Ubuntu Ubuntu Linux 7.10 powerpc Ubuntu Ubuntu Linux 7.10 lpia Ubuntu Ubuntu Linux 7.10 i386 Ubuntu Ubuntu Linux 7.10 amd64 Ubuntu Ubuntu Linux 6.06 LTS sparc Ubuntu Ubuntu Linux 6.06 LTS powerpc Ubuntu Ubuntu Linux 6.06 LTS i386 Ubuntu Ubuntu Linux 6.06 LTS amd64 MoinMoin MoinMoin 1.8 MoinMoin MoinMoin 1.7.1 MoinMoin MoinMoin 1.7 MoinMoin MoinMoin 1.6.3 MoinMoin MoinMoin 1.6.1 MoinMoin MoinMoin 1.6 MoinMoin MoinMoin 1.5.9 MoinMoin MoinMoin 1.5.8 MoinMoin MoinMoin 1.5.7 MoinMoin MoinMoin 1.5.6 MoinMoin MoinMoin 1.5.5 MoinMoin MoinMoin 1.5.4 MoinMoin MoinMoin 1.5.3 MoinMoin MoinMoin 1.5.2 MoinMoin MoinMoin 1.5 MoinMoin MoinMoin 1.3.4 MoinMoin MoinMoin 1.3.3 MoinMoin MoinMoin 1.3.2 MoinMoin MoinMoin 1.2.3 MoinMoin MoinMoin 1.2.2 MoinMoin MoinMoin 1.2.1 MoinMoin MoinMoin 1.2 MoinMoin MoinMoin 1.1 MoinMoin MoinMoin 1.0 MoinMoin MoinMoin 0.11 MoinMoin MoinMoin 0.10 MoinMoin MoinMoin 0.9 MoinMoin MoinMoin 0.8 MoinMoin MoinMoin 0.7 MoinMoin MoinMoin 0.3 MoinMoin MoinMoin 0.2 MoinMoin MoinMoin 0.1 Debian Linux 4.0 sparc Debian Linux 4.0 s/390 Debian Linux 4.0 powerpc Debian Linux 4.0 mipsel Debian Linux 4.0 mips Debian Linux 4.0 m68k Debian Linux 4.0 ia-64 Debian Linux 4.0 ia-32 Debian Linux 4.0 hppa Debian Linux 4.0 arm Debian Linux 4.0 amd64 Debian Linux 4.0 alpha Debian Linux 4.0
Not Vulnerable:	MoinMoin MoinMoin 1.8.1

MoinMoin 'AttachFile.py' Cross-Site Scripting Vulnerability

MoinMoin is prone to a cross-site scripting vulnerability because it fails to sufficiently sanitize user-supplied input data.

An attacker may leverage this issue to execute arbitrary script code in the browser of an unsuspecting user in the context of the affected site. This may help the attacker steal cookie-based authentication credentials and launch other attacks.

Versions prior to MoinMoin 1.8.1 are vulnerable.

MoinMoin 'AttachFile.py' Cross-Site Scripting Vulnerability

To exploit this issue, an attacker must entice an unsuspecting user to follow a malicious URI.

The following example URI is available:

• /data/vulnerabilities/exploits/33365.html

MoinMoin 'AttachFile.py' Cross-Site Scripting Vulnerability

Solution:
Updates are available. Please see the references for more information.


Debian Linux 4.0 amd64

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 ia-32

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 hppa

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 mipsel

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 ia-64

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 mips

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 arm

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 powerpc

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 m68k

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 sparc

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 s/390

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0 alpha

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

Debian Linux 4.0

• Debian moinmoin-common_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/moinmoin-common_1. 5.3-1.2etch2_all.deb


• Debian python-moinmoin_1.5.3-1.2etch2_all.deb
  http://security.debian.org/pool/updates/main/m/moin/python-moinmoin_1. 5.3-1.2etch2_all.deb

MoinMoin MoinMoin 0.1

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 0.10

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 0.11

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 0.2

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 0.3

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 0.7

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 0.8

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 0.9

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.0

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.1

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.2

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.2.1

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.2.2

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.2.3

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.3.2

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.3.3

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.3.4

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.2

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.3

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.4

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.5

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.6

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.7

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.8

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.5.9

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.6

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.6.1

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.6.3

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.7

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.7.1

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin MoinMoin 1.8

• MoinMoin moin-1.8.1.tar.gz
  http://static.moinmo.in/files/moin-1.8.1.tar.gz

MoinMoin 'AttachFile.py' Cross-Site Scripting Vulnerability

References:

• fix AttachFile XSS issues (Thomas Waldmann)
  
• MoinMoin Homepage (MoinMoin)
  
• MoinMoin Wiki Engine XSS Vulnerability ([email protected])