Websecurity - Веб безпека

19.06.2010

У травні, 06.05.2009, я знайшов Insufficient Anti-automation, Cross-Site Scripting, SQL Injection та Full path disclosure уразливості в eSitesBuilder (це українська комерційна CMS). Які я виявив на сайтах www.allo.ua та rozetka.com.ua. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в eSitesBuilder.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

25.08.2010

Insufficient Anti-automation:

http://site/forget.php

В формі немає захисту від автоматизованих запитів (капчі).

XSS:

Це single-user persistent XSS (коли користувач залогінений на сайті).

POST запит до сторінки профайла http://site/account.php. Код спрацює на сторінці профайла (поля Имя, Email, Телефон, Адрес 1, Адрес 2, Город/Поселок, Область) та на кожній зовнішній сторінці сайта (поле Имя).

XSS (persistent):

Через поле Имя в профайлі можна провести атаку на сторінках:

http://site/products/comments/product/
http://site/products/details/product/

XSS:

http://site/index.php?page=search&start_do_search=yes&search_text=%3Cscript%3Ealert(document.cookie)%3C/script%3E

SQL Injection:

http://site/index.php?page=search&start_do_search=yes&search_text=1&pcat_id=-1%20or%20version()=5

Full path disclosure:

http://site/index.php?page=search&search_text=%3C%3E

Уразливі потенційно всі версії eSitesBuilder.

This entry was posted on 15:09 25.08.2010 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.