CVE-2009-4459

https://notcve.org/view.php?id=CVE-2009-4459

Redmine 0.8.7 and earlier uses the title tag before defining the character encoding in a meta tag, which allows remote attackers to conduct cross-site scripting (XSS) attacks and inject arbitrary script via UTF-7 encoded values in the title parameter to a new issue page, which may be interpreted as script by Internet Explorer 7 and 8. Redmine 0.8.7 y versiones anteriores usa la etiqueta título antes de definir el caracter de codificación en una etiqueta META lo que permite a atacantes remotos realizar ataques de secuencias de comandos en sitios cruzados (XSS) e inyectar secuencias de comandos de su elección mediante valores con codificación UTF-7 en el parámetro título para una página de nueva emisión, lo que puede ser interpratado como un script por Internet Explorer 7 y 8. • http://www.exploit-db.com/exploits/10554 http://www.securityfocus.com/bid/37425 https://exchange.xforce.ibmcloud.com/vulnerabilities/54947 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •