Websecurity - Веб безпека

До раніше мною оприлюднених уразливостей в Power Phlogger, повідомляю про нові уразливості в даній системі для ведення статистики відвідувань. В лютому, 16.02.2008, я виявив Cross-Site Scripting і Abuse of Functionality уразливості в Power Phlogger. Про що найближчим часом повідомлю розробникам веб додатку.

XSS:

Це reflected і persistent XSS.

http://site/edCss.php?action=create+new&fields%5Bcss%5D=%3Cscript%3Ealert(document.cookie)%3C/script%3E

Код в подальшому виконується при відвіданні сторінок http://site/edUserprofile.php і http://site/edCss.php.

Abuse of Functionality:

Якщо відправити запит (зокрема через CSRF атаку на залогіненого користувача) з action=create+new і з вказанням fields[css], без вказання fields[userid] поточного користувача, то нова CSS запишеться в системі як дефолтна і користувач не зможе її видалити. Чим можна засмітити БД системи.

http://site/edCss.php?action=create+new&fields%5Bcss%5D=1

Дану уразливість також можна використати, щоб провести вищенаведену persistent XSS атаку не тільки в рамках одного акаунта, а в рамках всіх акаунтів системи.

Уразлива версія Power Phlogger 2.2.5 та попередні версії.

Це сьома частина уразливостей в Power Phlogger. Найближчим часом напишу про інші уразливості в даному веб додатку.

This entry was posted on 23:51 20.12.2008 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.