Websecurity - Веб безпека

22.10.2008

У січні, 13.01.2008, я знайшов Cross-Site Scripting уразливість в системі Xaraya. Як раз коли виявив уразливість на www.linux.com, де використовується даний движок.

Детальна інформація про уразливість з’явиться пізніше. Спочатку повідомлю розробникам системи.

09.01.2009

XSS:

Уразливість в index.php параметрі d.

http://site/?module=search&q=';alert(document.cookie);//

Розробники мені так і не відповіли, але як я виявив в останніх версіях системи уразливість вже виправлена.

У лютому, 26.02.2008, я знайшов Cross-Site Scripting уразливість на http://www.idc-cema.com - сайті компанії IDC. Про що найближчим часом сповіщу адміністрацію сайта.

Компанія IDC зокрема проводить конференції на тему безпеки в різних країнах, в тому числі й Україні. До речі, раніше я вже писав про уразливість на idc-cema.com.

XSS:

• alert(document.cookie) (Mozilla)
• цікавий (Mozilla)

В даній добірці уразливості в веб додатках:

• Multiple vulnerabilities in Firefly Media Server (mt-daapd) 2.4.1 / SVN 1699 (деталі)
• ID-Commerce Security Advisory - SLR-2007-001 (деталі)
• Cross site scripting (XSS) in Moodle 1.8.3 (деталі)
• Naymz multiple XSS (деталі)
• Member Area System (MAS) Remote File Include Vulnerability (view_func.php) (деталі)
• ImageAlbum Remote SQL Injection Vulnerabilities (деталі)
• MTCMS <=2.0 SQL Injection Vulnerbility (деталі)
• Multiple vulnerabilities in BarracudaDrive 3.7.2 (деталі)
• Garment Center (index.cgi) Local File Inclusion (деталі)
• Binn SBuilder (nid) Remote Blind Sql Injection Vulnerabily (деталі)

В даній добірці уразливості в веб додатках:

• Snitz Forums Multiple Vulnerabilities (деталі)
• Updated liblcms package fixes buffer overflow (деталі)
• Two vulnerabilities in Simple HTTPD 1.38 (деталі)
• Layton HelpBox Multiple Vulnerabilities (деталі)
• Privileg escalation in Omegasoft Insel 7 (деталі)
• LFI in Tuned Studios Templates (деталі)
• Joomla 1.0.13 CSRF (деталі)
• ID-Commerce Security Advisory - SLR-2007-001 (деталі)
• ID-Commerce Security Advisory - SLR-2007-001 (деталі)
• Simple Machines Forum Cross-Site Scripting Vulnerabilities (деталі)

Учора, 02.01.2009, я знайшов Cross-Site Scripting уразливість в PHPSlideshow. Як раз коли виявив уразливість на eweek.com. Про що найближчим часом повідомлю розробникам веб додатку.

XSS:

Уразливість в index.php в параметрі directory.

http://site/slideshow/index.php?directory='%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Потенційно вразливі всі версії PHPSlideshow.

eWEEK - це онлайн ЗМІ, що також пише на тему безпеки. У лютому, 14.02.2008, я знайшов Cross-Site Scripting уразливість на сайті http://www.eweek.com. Яку вони з часом виправили, тому сьогодні я знайшов нову уразливість на їхньому сайті. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про редиректор на www.eweek.com.

XSS:

http://www.eweek.com

• alert(document.cookie) (виправили)

http://etech.eweek.com

• alert(document.cookie)
• цікавий
• html включення

В даній добірці уразливості в веб додатках:

• NetRisk 1.9.7 Remote File Inclusion Vulnerability (деталі)
• HP Select Identity Software, Remote Unauthorized Access (деталі)
• HP Select Identity, Remote Unauthorized Access (деталі)
• HP Select Identity, Remote Unauthorized Access (деталі)
• sysHotel On Line Remote File Disclosure Vulnerability (деталі)
• Million Dollar Script 2.0.14 Remote File Disclosure Vulnerability (деталі)
• SocialURL Login Page Cross-Site Scripting (деталі)
• OneCMS Vulnerabilities (деталі)
• eTicket 1.5.5.2 Multiple Vulnerabilities (деталі)
• netrisk 1.9.7 Multiple Remote Vulnerabilities (sql injection/xss) (деталі)

В зв’язку з настанням 2009 року пропоную вашій увазі Новорічний хак . Це ще один подарунок вам до Нового Року.

Сьогодні я виявив уразливості на сайті http://lioridiamonds.com. Який і був мною похаканий і на якому був розміщений подарунок. Так що в новому році слідкуйте за безпекою ваших сайтів.

Подарунок:

http://lioridiamonds.com/NewYear/

В зв’язку з Новим Роком, що наступає, я приготував для подарунок. Це новорічна уразливість . На одному цікавому сайті. Так що не забувайте в новому році слідкувати за безпекою ваших сайтів.

А ось і сам подарунок:

http://www.vilmorin.com.au/UserFiles/File/NewYear/

В даній добірці уразливості в веб додатках:

• Multiple CSRF in Joomla all versions - Complete compromise (деталі)
• Cross-Site Scripting (XSS) in phpWebSite 1.4.0 search (деталі)
• MODx CMS Source code disclosure, local file inclusion (деталі)
• LiveCart Multiple Cross-Site Scripting Vulnerabilities (деталі)
• HP OpenView Network Node Manager OpenView5.exe Directory Traversal (деталі)
• HP OpenView Network Node Manager (OV NNM) Remote Unauthorized Execution of Arbitrary Code (деталі)
• HP OpenView Network Node Manager Multiple CGI Buffer Overflows (деталі)
• xss in w3-msql error page (деталі)
• phpBB2 2.0.22 Cross Site Scripting Vulnerability (деталі)
• INVISION POWER BOARD 2.1.7 ACTIVE XSS/SQL INJECTION EXPLOIT (деталі)