Webmin CVE-2017-9313 Multiple Cross Site Scripting Vulnerabilities

Bugtraq ID:	99373
Class:	Input Validation Error
CVE:	CVE-2017-9313
Remote:	Yes
Local:	No
Published:	Jul 03 2017 12:00AM
Updated:	Jul 03 2017 12:00AM
Credit:	Andy Tan
Vulnerable:	Webmin Webmin 1.290 Webmin Webmin 1.280 Webmin Webmin 1.270 Webmin Webmin 1.260 Webmin Webmin 1.250 Webmin Webmin 1.240 Webmin Webmin 1.230 Webmin Webmin 1.220 Webmin Webmin 1.210 Webmin Webmin 1.200 Webmin Webmin 1.190 Webmin Webmin 1.180 Webmin Webmin 1.170 Webmin Webmin 1.160 Webmin Webmin 1.150 Webmin Webmin 1.140 Webmin Webmin 1.130 Webmin Webmin 1.121 Webmin Webmin 1.110 Webmin Webmin 1.100 Webmin Webmin 1.3.20 Webmin Webmin 1.2.30 Webmin Webmin 1.2.20 Webmin Webmin 1.1.40 Webmin Webmin 1.1.30 Webmin Webmin 1.1.21 Webmin Webmin 1.1.20 Webmin Webmin 1.1 Webmin Webmin 1.0.60 Webmin Webmin 1.0.51 Webmin Webmin 1.0.40 Webmin Webmin 1.0.30 Webmin Webmin 1.0.20 Webmin Webmin 1.0.10 Webmin Webmin 1.0 90 Webmin Webmin 1.0 80 Webmin Webmin 1.0 70 + HP Apache-Based Web Server 1.3.27 .01 + HP Apache-Based Web Server 1.3.27 .01 + HP Webmin-Based Admin 1.0.1 .01 + HP Webmin-Based Admin 1.0.1 .01 + Turbolinux Turbolinux Server 8.0 + Turbolinux Turbolinux Server 8.0 + Turbolinux Turbolinux Server 7.0 + Turbolinux Turbolinux Server 7.0 + Turbolinux Turbolinux Workstation 8.0 Webmin Webmin 1.0 60 Webmin Webmin 1.0 50 Webmin Webmin 1.0 20 Webmin Webmin 1.0 00 Webmin Webmin 1.0 Webmin Webmin 0.990 Webmin Webmin 0.980 Webmin Webmin 0.970 Webmin Webmin 0.960 Webmin Webmin 0.950 Webmin Webmin 0.94 Webmin Webmin 0.93 Webmin Webmin 0.92 Webmin Webmin 0.91 Webmin Webmin 0.89 + Caldera OpenLinux Server 3.1.1 + Caldera OpenLinux Server 3.1.1 + Caldera OpenLinux Server 3.1.1 + Caldera OpenLinux Server 3.1 + Caldera OpenLinux Server 3.1 + Caldera OpenLinux Server 3.1 + Caldera OpenLinux Workstation 3.1.1 + Caldera OpenLinux Workstation 3.1 + Caldera OpenLinux Workstation 3.1 + Caldera OpenLinux Workstation 3.1 Webmin Webmin 0.88 Webmin Webmin 0.85 Webmin Webmin 0.80 Webmin Webmin 0.79 Webmin Webmin 0.78 Webmin Webmin 0.77 Webmin Webmin 0.76 Webmin Webmin 0.51 Webmin Webmin 0.42 Webmin Webmin 0.41 Webmin Webmin 0.31 Webmin Webmin 0.22 Webmin Webmin 0.21 Webmin Webmin 0.8.4 - Caldera OpenLinux Desktop 2.3 - Caldera OpenLinux Desktop 2.3 - Mandriva Linux Mandrake 7.2 - Mandriva Linux Mandrake 7.2 - Mandriva Linux Mandrake 7.1 - Mandriva Linux Mandrake 7.1 - SCO eDesktop 2.4 - SCO eDesktop 2.4 - SCO eServer 2.3.1 Webmin Webmin 0.8.3 - Caldera OpenLinux 2.4 - Caldera OpenLinux 2.4 - Caldera OpenLinux 2.3 - Caldera OpenLinux 2.3 - MandrakeSoft Corporate Server 1.0.1 - Mandriva Linux Mandrake 7.2 - Mandriva Linux Mandrake 7.2 - Mandriva Linux Mandrake 7.1 - Mandriva Linux Mandrake 7.1 Webmin Webmin 0.7 Webmin Webmin 0.6 Webmin Webmin 0.5 Webmin Webmin 0.4 Webmin Webmin 0.3 Webmin Webmin 0.2 Webmin Webmin 0.1 Webmin Webmin 1.840 Webmin Webmin 1.830 Webmin Webmin 1.730 Webmin Webmin 1.720 Webmin Webmin 1.690 Webmin Webmin 1.680 Webmin Webmin 1.670 Webmin Webmin 1.660 Webmin Webmin 1.650 Webmin Webmin 1.640 Webmin Webmin 1.630 Webmin Webmin 1.620 Webmin Webmin 1.610 Webmin Webmin 1.600 Webmin Webmin 1.590 Webmin Webmin 1.580 Webmin Webmin 1.550 Webmin Webmin 1.540 Webmin Webmin 1.500 Webmin Webmin 1.430 Webmin Webmin 1.390 Webmin Webmin 1.370 Webmin Webmin 1.350 Webmin Webmin 1.340 Webmin Webmin 1.330 Webmin Webmin 1.320 Webmin Webmin 1.296 Webmin Webmin 1.2.50 Webmin Webmin 1.2.40 Webmin Webmin 1.1.50 Webmin Webmin 1.1.10 Webmin Webmin 1.0.90 Webmin Webmin 1.0.80 Webmin Webmin 1.0.70 Webmin Webmin 1.0.50 Webmin Webmin 0.99 Webmin Webmin 0.98 Webmin Webmin 0.97 Webmin Webmin 0.96 Webmin Webmin 0.95 Webmin Webmin 0.94 Webmin Webmin 0.93 Webmin Webmin 0.92 Webmin Webmin 0.91 Webmin Webmin 0.90 Webmin Webmin 0.88 Webmin Webmin 0.80 Webmin Webmin 0.7 Webmin Webmin 0.6 Webmin Webmin 0.5 Webmin Webmin 0.4
Not Vulnerable:	Webmin Webmin 1.850

Webmin CVE-2017-9313 Multiple Cross Site Scripting Vulnerabilities

The following exeample URIs are available:

https://www.example.com/man/view_man.cgi?page=foo&sec=<script>alert('xss')</script>

https://www.example.com/webmin/change_referers.cgi?referer=0&referers=<script>alert('xss')</script>

Webmin CVE-2017-9313 Multiple Cross Site Scripting Vulnerabilities

References:

• escape some params (Webmin)
  
• Escape untrusted params (Webmin)
  
• Webmin Change Log (Webmin)
  
• Webmin Home Page (Webmin )