Нещодавно, 03.08.2008, я знайшов Insufficient Anti-automation, Abuse of Functionality та Cross-Site Scripting уразливості в плагіні Contact Form ][ для WordPress. Дірки я виявив на одному сайті, які також перевірив в себе локально на останній версії плагіна. Про що найближчим часом повідомлю розробникам плагіна.
Insufficient Anti-automation:
Відсутність капчі дозволяє слати автоматизовані повідомлення (зокрема спам) адмінам сайта.
Abuse of Functionality:
На сторінці контактів є функція “Send a copy to yourself”. Вона вмикається в налаштуваннях (Carbon-Copy ability) і призводить до того, що через сайт можна розсилати спам (як адміну, так і на довільні емайли).
А з використанням Insufficient Anti-automation уразливості можна автоматизовано розсилати спам з сайта в великих обсягах.
Contact Form 2 Abuse of Functionality.html
XSS:
POST запит на сторінці http://site/contact/:
"><script>alert(document.cookie)</script>В полях: Your Name, Your Email, Subject.
</textarea><script>alert(document.cookie)</script>В полі: Your Message.
Плагін Contact Form ][ зроблений на основі плагіна WP-ContactForm і тому дані XSS аналогічні уразливостям в WP-ContactForm, про які я писав раніше.
Уразлива версія Contact Form ][ v2.0.13 та попередні версії.
.
