Bugzilla 安全公告：

已在 Bugzilla 中发现以下安全问题：

- 帐户假冒：用户创建新帐户时，Bugzilla 未正确拒绝包含非 ASCII 字符的电子邮件地址，从而可能被用于假冒其他用户帐户。
此类电子邮件地址外表上看起来与其他有效电子邮件地址完全一样，攻击者可尝试迷惑其他用户并被添加到其不应有权访问的缺陷中。

- 跨站请求伪造：由于发起对 jsonrpc.cgi 的 POST 请求时缺少对 Content-Type 标头的验证，发现可能的 CSRF 漏洞。如果用户访问其中包含某些恶意 JS 代码的 HTML 页面，攻击者可通过使用 JSON-RPC API 来代表受害者的帐户对远程 Bugzilla 安装进行更改。用户必须已登入目标站点才能使该漏洞生效。

鼓励尽快升级所有受影响的安装。

检测

FreeBSD：bugzilla -- 多种漏洞 (309542b5-50b9-11e1-b0d8-00151735203a)

medium Nessus 插件 ID 57852

未找到变更日志