Cross-Site Scripting в phplist
23:10 11.10.200605.10.2006
Вчора, 04.10.2006, я виявив Cross-Site Scripting уразливість в phplist - системі керування розсилками. XSS знайдена в phplist v 2.10.2 (і відовідно вразливі попередні версії - як я перевірив, в версіях до 2.10.2 уразливість працює).
До речі це остання версія phplist (як заявлено на офіційному сайті), тому всім користувачам цієї системи прийдеться бути обережними (і відвідувачам сайтів, де встановлена дана система). Та їм потрібно буде звернутися до розробників за апдейтом, а самим розробникам прийдетья терміново випускати нову версію.
Як я вже казав, дану уразливість в phplist я знайшов, коли заходив на сайт phpbb і виявив уразливість на www.phpbb.com.
Як я провів відповідні досліження, існує чимало уразливих сайтів з цією системою. Зокрема по одному запиту Гугл виводить приблизно 320000 сайтів. Тому в інтернеті зараз є вилика кількість сайтів, яким прийдеться зайнятися власною безпекою (раз раніше цим не зайнялися). На що взагалі потрібен звертати увагу кожен власник сайта.
Серед вразливих сайтів:
http://www.phplist.com
http://www.sed.gr
http://www.chrisvaughn.net
http://www.aliquotconsulting.com
http://www.tomalogy.com.ua
http://www.znayu.org.ua
http://helicon.com.ua
http://lists.longform.ca
http://www.localenergy.org
http://britannicadreams.com
Сайт розробників системи - www.phplist.com - також вразливий, що і не дивно, бо вони на своєму сайті використовують власну ж систему.
Деталі уразливості з’являться трохи згодом, спочатку повідомлю розробників системи та перший десяток власників уразливих сайтів.
11.10.2006
Уразливість в параметрі unsubscribeemail в скрипті index.php системи phplist.
XSS:
http://host/phplist_path/?p=unsubscribe&id=1&unsubscribeemail=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
Автор phplist вже випустив нову версію системи (phplist 2.10.3). Всім користувачам даної системи потрібно терміново оновити її до останньої версії, хто ще цього не зробив. Як я вже казав, в інтернеті приблизно 319000-320000 сайтів, які використовують дану систему (по інформації від Гугл), тому їм всім потрібно підвищити безпеку власних сайтів.
Четвер, 23:42 12.10.2006
Окрім XSS в phplist також зверніть увагу на Cross-Site Scripting в WP-PHPList.