Нові уразливості в Megapolis.Portal Manager

17:25 16.10.2014

У вересні я знайшов Cross-Site Scripting уразливості в Megapolis.Portal Manager на сайті Державної служби зайнятості. Це комерційна CMS від компанії Cофтлайн. Дані уразливості я виявив ще в 2012 році на державному сайті zpd.gov.ua, а в 2014 виявив аналогічні уразливості на dcz.gov.ua.

Є багато українських державних сайтів на цій системі. Раніше я вже писав про численні уразливості в Megapolis.Portal Manager.

XSS (WASC-08):

http://site/control/uk/publish/category?dateFrom=%22%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E
http://site/control/uk/publish/category?dateTo=%22%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E

Про ці уразливості я повідомив розробника ще в 2012 році. Дані уразливості досі не виправлені, тому що розробник Megapolis.Portal Manager відмовився їх виправляти. Хоча інші дірки в CMS від Cофтлайн, що були на сайтах www.kmu.gov.ua та portal.rada.gov.ua, вже виправлені.


Leave a Reply

You must be logged in to post a comment.