Die Entwickler des freien Bugtracking-Systems Bugzilla empfehlen den Benutzern älterer Versionen aus Sicherheitsgründen ein Update.
Im webbasierten System stecken in den diversen vom Projekt gepflegten Zweigen Probleme: Eines davon öffnet Angreifern über den “buildid”-Eintrag des Formulars zur Fehlermeldung die Möglichkeit für Crossite-Scripting. Außerdem lässt sich der Aufruf von “Email::Send::Sendmail()” wegen mangelnder Überprüfung zum Einschleusen von Code missbrauchen.
Schließlich ermöglicht ein Fehler im Webservice-Interface (XML-RPC) den Zugang zu den Time-Tracking-Einträgen aller gemeldeten Fehler, auch wenn der Benutzer diese Rechte nicht hat.
Die Entwickler empfehlen Benutzern, die Version 2.20.x oder 2.22.x einsetzen, ein Update auf Version 2.20.5 und im zweiten Fall auf 2.22.3. Wer die Ausgabe 3.0 oder 2.18.x einsetzt, sollte Version 3.0.1 einspielen. Neuere Versionen als die genannten sind nicht von den Fehlern betroffen. Den Download gibt es bei Bugzilla.



