Vulnerability CVE-2010-3906 - CERT Civis.Net

Vulnerability Name:

CVE-2010-3906 (CCN-64138)

Assigned:

2010-12-15

Published:

2010-12-15

Updated:

2021-01-26

Summary:

Cross-site scripting (XSS) vulnerability in Gitweb 1.7.3.3 and earlier allows remote attackers to inject arbitrary web script or HTML via the (1) f and (2) fp parameters.

CVSS v3 Severity:

5.3 Medium (CCN CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): Low Privileges Required (PR): None User Interaction (UI): None
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): None Integrity (I): Low Availibility (A): None

CVSS v2 Severity:

4.3 Medium (CVSS v2 Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N)
3.7 Low (Temporal CVSS v2 Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N/E:H/RL:OF/RC:C)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Medium Authentication (Au): None
Impact Metrics:	Confidentiality (C): None Integrity (I): Partial Availibility (A): None

4.3 Medium (CCN CVSS v2 Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N)
3.7 Low (CCN Temporal CVSS v2 Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N/E:H/RL:OF/RC:C)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Medium Athentication (Au): None
Impact Metrics:	Confidentiality (C): None Integrity (I): Partial Availibility (A): None

4.3 Medium (REDHAT CVSS v2 Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N)
3.7 Low (REDHAT Temporal CVSS v2 Vector: AV:N/AC:M/Au:N/C:N/I:P/A:N/E:H/RL:OF/RC:C)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): Medium Authentication (Au): None
Impact Metrics:	Confidentiality (C): None Integrity (I): Partial Availibility (A): None

Vulnerability Type:

Vulnerability Consequences:

Gain Access

References:

Source: MITRE
Type: CNA
CVE-2010-3906

Source: FEDORA
Type: UNKNOWN
FEDORA-2010-18981

Source: FEDORA
Type: UNKNOWN
FEDORA-2010-18973

Source: SUSE
Type: UNKNOWN
SUSE-SR:2011:004

Source: CCN
Type: RHSA-2010-1003
Moderate: git security update

Source: CCN
Type: SA42645
GIT gitweb Cross-Site Scripting Vulnerabilities

Source: SECUNIA
Type: Vendor Advisory
42645

Source: SECUNIA
Type: UNKNOWN
42731

Source: SECUNIA
Type: UNKNOWN
42743

Source: SECUNIA
Type: UNKNOWN
43457

Source: CCN
Type: SECTRACK ID: 1024905
GIT gitweb Input Validation Flaw Permits Cross-Site Scripting Attacks

Source: EXPLOIT-DB
Type: Exploit
15744

Source: CCN
Type: git(1) Manual Page
git - the stupid content tracker

Source: MANDRIVA
Type: UNKNOWN
MDVSA-2010:256

Source: CCN
Type: OSVDB ID: 69929
Gitweb index.php Multiple Parameter XSS

Source: REDHAT
Type: UNKNOWN
RHSA-2010:1003

Source: BID
Type: Exploit
45439

Source: CCN
Type: BID-45439
Git gitweb 'index.php' Multiple Cross Site Scripting Vulnerabilities

Source: SECTRACK
Type: UNKNOWN
1024905

Source: VUPEN
Type: UNKNOWN
ADV-2010-3323

Source: VUPEN
Type: UNKNOWN
ADV-2011-0010

Source: VUPEN
Type: UNKNOWN
ADV-2011-0464

Source: XF
Type: UNKNOWN
git-gitweb-xss(64138)

Source: EXPLOIT-DB
Type: EXPLOIT
Offensive Security Exploit Database [12-15-2010]

Source: SUSE
Type: SUSE-SR:2011:004
SUSE Security Summary Report

Vulnerable Configuration:

Configuration 1:

cpe:/a:git:git:0.99.9j:*:*:*:*:*:*:*

OR cpe:/a:git:git:0.99.9k:*:*:*:*:*:*:*

OR cpe:/a:git:git:0.99.9l:*:*:*:*:*:*:*

OR cpe:/a:git:git:0.99.9m:*:*:*:*:*:*:*

OR cpe:/a:git:git:0.99.9n:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.0:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.0b:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.7:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.0.8:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.1.0:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.1.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.1.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.1.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.1.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.1.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.1.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.2.0:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.2.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.2.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.2.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.2.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.2.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.2.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.3.0:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.3.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.3.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.3.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.0:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.1.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.2.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.2.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.2.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.2.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.3.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.3.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.3.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.3.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.3.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.4.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.4.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.4.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.4.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.4.4.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0:rc2:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0:rc3:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0:rc4:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.0.7:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.1.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.1.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.1.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.1.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.1.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.1.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.2.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.2.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.2.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.2.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.2.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3:rc4:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3:rc5:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3:rc7:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.7:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.3.8:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:rc0:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:rc1:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:rc1.1136.g2794:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:rc2:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:rc3:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:rc4:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4:rc5:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.4.7:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5:rc1:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5:rc2:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5:rc3:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5.3:r1:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.5.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.6:rc0:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.6:rc2:*:*:*:*:*:*

OR cpe:/a:git:git:1.5.6.6:rc3:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0:rc1:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0:rc2:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0:rc3:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.0.6:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.1:rc1:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.1:rc2:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.1:rc3:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.1:rc4:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.1.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.2:rc1:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.2.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.2.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.2.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.2.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.2.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.3:rc1:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.3:rc2:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.3:rc3:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.3:rc4:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.3.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.6.3.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.2.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.2.2:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.2.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.2.4:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.2.5:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.3:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.3.1:*:*:*:*:*:*:*

OR cpe:/a:git:git:1.7.3.2:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:0.01:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:0.02:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:0.03:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:0.04:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:0.5:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:0.6.0:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:0.7.0:*:*:*:*:*:*:*

OR cpe:/a:git-scm:git:*:*:*:*:*:*:*:* (Version <= 1.7.3.3)

Configuration RedHat 1:

cpe:/o:redhat:enterprise_linux:6:*:*:*:*:*:*:*

Configuration RedHat 2:

cpe:/o:redhat:enterprise_linux:6::client:*:*:*:*:*

Configuration RedHat 3:

cpe:/o:redhat:enterprise_linux:6::computenode:*:*:*:*:*

Configuration RedHat 4:

cpe:/o:redhat:enterprise_linux:6::server:*:*:*:*:*

Configuration RedHat 5:

cpe:/o:redhat:enterprise_linux:6::workstation:*:*:*:*:*

Denotes that component is vulnerable

Oval Definitions

Definition ID	Class	Title	Last Modified
oval:org.opensuse.security:def:26165	P	Security update for libarchive (Moderate)	2021-11-17
oval:org.opensuse.security:def:20103906	V	CVE-2010-3906	2021-08-15
oval:org.opensuse.security:def:36412	P	git-1.7.12.4-0.9.1 on GA media (Moderate)	2021-06-08
oval:org.opensuse.security:def:26037	P	Security update for the Linux Kernel (Important)	2021-01-15
oval:org.opensuse.security:def:25973	P	Security update for the Linux Kernel (Important)	2020-12-09
oval:org.opensuse.security:def:26640	P	sudo on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:27375	P	binutils-devel on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:26387	P	Security update for ffmpeg (Moderate)	2020-12-01
oval:org.opensuse.security:def:25961	P	Security update for the Linux Kernel (Important)	2020-12-01
oval:org.opensuse.security:def:26679	P	cron on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:27410	P	git on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:26538	P	e2fsprogs on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:25962	P	Security update for mariadb (Important)	2020-12-01
oval:org.opensuse.security:def:26693	P	evolution-data-server on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:26246	P	Security update for ImageMagick (Moderate)	2020-12-01
oval:org.opensuse.security:def:26591	P	libmysqlclient15-32bit on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:26737	P	libadns1 on GA media (Moderate)	2020-12-01
oval:org.opensuse.security:def:26303	P	Security update for dnsmasq (Moderate)	2020-12-01
oval:org.mitre.oval:def:23492	P	ELSA-2010:1003: git security update (Moderate)	2014-05-26
oval:org.mitre.oval:def:22223	P	RHSA-2010:1003: git security update (Moderate)	2014-02-24
oval:com.redhat.rhsa:def:20101003	P	RHSA-2010:1003: git security update (Moderate)	2010-12-21