Websecurity - Веб безпека

Продовжується Місяць багів в Капчах і вчора я опублікував нову уразливість.

На шістнадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі Cryptographp (це плагін для WordPress). Дана Капча вразлива до session reusing with constant captcha bypass method.

• MoBiC-16: Cryptographp CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

В даній добірці уразливості в веб додатках:

• F5 FirePass command execution vulnerability (деталі)
• SQL injection vulnerability in Ublog Reload 1.0.5 (деталі)
• Multiple cross-site scripting (XSS) vulnerabilities in Ublog Reload 1.0.5 (деталі)
• PHP remote file inclusion vulnerability in Epistemon 1.0 (деталі)
• Packeteer PacketShaper Web Management Denial of Service (деталі)
• phpWebThings ==>1.5.2 RFI (деталі)
• Zen Help Desk ==> Version 2.1 Bypass (деталі)
• Multiple SQL injection vulnerabilities in dev4u CMS (деталі)
• Multiple cross-site scripting (XSS) vulnerabilities in dev4u CMS (деталі)
• Multiple SQL injection vulnerabilities in Recipes Website (Recipes Complete Website) 1.1.14 (деталі)
• PHP-інклюдинг в MyAlbum (деталі)
• Обхід каталогу в phpManta (деталі)
• SQL injection vulnerability in the Downloads module for PostNuke (деталі)
• Multiple SQL injection vulnerabilities in the Content module in PHP-Nuke (деталі)
• Небезпечні привілеї на доступ в phpProfiles (деталі)

Продовжується Місяць багів в Капчах і вчора я опублікував нову уразливість.

На п’ятнадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі Live Search компанії Microsoft. Дана Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-15: search.live.com CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

31.07.2007

У січні, 13.01.2007, я знайшов Cross-Site Scripting та Full path disclosure уразливості на відомому проекті www.bbc.co.uk (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

На ці уразливості звернув мою увагу мій друг Глум - він вислав мені лінку на XSS дірку на сайті BBC. А при її дослідженні я виявив ще одну дірку - окрім Cross-Site Scripting, ще й Full path disclosure.

Детальна інформація про уразливості з’явиться пізніше.

15.11.2007

XSS:

• alert(document.cookie)
• цікавий
• html включення

Full path disclosure:

http://www.bbc.co.uk/bbcone/listings/index.shtml?service_id=4223&DAY=today-

Дані уразливості досі не виправлені.

Продовжується Місяць багів в Капчах і вчора я опублікував нову уразливість.

На чотирнадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі cgisecurity.com. Дана текстова Капча вразлива до сonstant value bypass method.

• MoBiC-14: cgisecurity.com CAPTCHA bypass (деталі)

Також я опублікував статтю Полювання на Капчі (Hunting for CAPTCHAs).

Очікуємо на наступний день Month of Bugs in Captchas.

В даній добірці уразливості в веб додатках:

• webCMS_1.00 Database Disclosure Vulnerabilitiy (деталі)
• CommuniGate Pro web mail persistent cross-site scripting vulnerability (деталі)
• PeerCast streaming server submits cleartext password (деталі)
• Ublog Reload Admin Panel Multiple HTML Injections (деталі)
• Security Advisory for Bugzilla 2.20.3, 2.22.1, and 2.23.3 (деталі)
• Sun JDK/JRE: Multiple vulnerabilities (деталі)
• PHP remote file inclusion vulnerability in WebBuilder (деталі)
• Updated proftpd packages fix vulnerabilities (деталі)
• SQL injection vulnerability in Wallpaper Website (Wallpaper Complete Website) (деталі)
• Multiple SQL injection vulnerabilities in Wallpaper Website (Wallpaper Complete Website) (деталі)
• slackware-security: mozilla-firefox (деталі)
• SQL-ін’єкція в OmniStar Article (деталі)
• SQL injection vulnerability in Nivisec Hacks List (деталі)
• PHP remote file inclusion vulnerability in the Mermaid 1.2 module for PHP-Nuke (деталі)
• Міжсайтовий скриптінг в Wheatblog (деталі)

Продовжується Місяць багів в Капчах і сьогодні я опублікував нову уразливість.

На тринадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі expert.com.ua. Дана текстова логічна Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-13: expert.com.ua CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Продовжується Місяць багів в Капчах і сьогодні я опублікував нові уразливості.

На дванадцятий день Місяця багів в Капчах я опублікував інформацію про дірки в Капчі Peter’s Random Anti-Spam Image (це плагін для WordPress). Дана Капча вразлива до half-automated method та має Cross-Site Scripting уразливість.

• MoBiC-12: Peter’s Random Anti-Spam Image CAPTCHA bypass (деталі)
• MoBiC-12 Bonus: Peter’s Random Anti-Spam Image XSS (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

В даній добірці уразливості в веб додатках:

• SonicBB version 1.0 XSS Attack Vulnerabilities (деталі)
• SonicBB version 1.0 Multiple Path Disclosure Vulnerabilities (деталі)
• XSS in Microsoft SharePoint (деталі)
• Pligg critical vulnerability (деталі)
• BoastMachine index.php Cross Site Scripting Vulnerability (деталі)
• Web Directory / Search Engine v2.0 Authentication Bypass/Database Download Vulne (деталі)
• Vulnerability - cpCommerce - XSS (деталі)
• ProFTPD: Remote execution of arbitrary code (деталі)
• Multiple cross-site scripting (XSS) vulnerabilities in BirdBlog 1.4.0 (деталі)
• PHP remote file inclusion vulnerability in Site News (site_news) (деталі)
• slackware-security: seamonkey (деталі)
• SQL-ін’єкція в abarcar Realty Portal (деталі)
• PHP remote file inclusion vulnerability in PEGames (деталі)
• Інклюдинг локальних файлів в phpMyChat Plus (деталі)
• Уразливість при обрабці HTML коду в браузері Safari (деталі)

Продовжується Місяць багів в Капчах і сьогодні я опублікував нову уразливість.

На одинадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі Digg. Дана Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-11: Digg CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.