Cross-Site Scripting в phplist - Websecurity - Веб безпека

Websecurity - Веб безпека [http://websecurity.com.ua/] « Виконання коду в Python repr() Добірка експлоітів » Cross-Site Scripting в phplist 23:10 11.10.2006 05.10.2006 Вчора, 04.10.2006, я виявив Cross-Site Scripting уразливість в phplist - системі керування розсилками. XSS знайдена в phplist v 2.10.2 (і відовідно вразливі попередні версії - як я перевірив, в версіях до 2.10.2 уразливість працює). Доречі це остання версія phplist (як заявлено на офіційному сайті), тому всім користувачам цієї системи прийдеться бути обережними (і відвідувачам сайтів, де встановлена дана система). Та їм потрібно буде звернутися до розробників за апдейтом, а самим розробникам прийдетья терміново випускати нову версію. Як я вже казав, дану уразливість в phplist я знайшов, коли заходив на сайт phpbb і виявив уразливість на www.phpbb.com . Як я провів відповідні досліження, існує чимало уразливих сайтів з цією системою. Зокрема по одному запиту Гугл виводить приблизно 320000 сайтів. Тому в інтернеті зараз є вилика кількість сайтів, яким прийдеться зайнятися власною безпекою (раз раніше цим не зайнялися). На що взагалі потрібен звертати увагу кожен власник сайта. Серед вразливих сайтів: http://www.phplist.com http://www.sed.gr http://www.chrisvaughn.net http://www.aliquotconsulting.com http://www.tomalogy.com.ua http://www.znayu.org.ua http://helicon.com.ua http://lists.longform.ca http://www.localenergy.org http://britannicadreams.com Сайт розробників системи - www.phplist.com - також вразливий, що і не дивно, бо вони на своєму сайті використовують власну ж систему. Деталі уразливості з’являться трохи згодом, спочатку повідомлю розробників системи та перший десяток власників уразливих сайтів. 11.10.2006 Уразливість в параметрі unsubscribeemail в скрипті index.php системи phplist. XSS: http://host/phplist_path/?p=unsubscribe&id=1&unsubscribeemail=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E Автор phplist вже випустив нову версію системи (phplist 2.10.3). Всім користувачам даної системи потрібно терміново оновити її до останньої версії, хто ще цього не зробив. Як я вже казав, в інтернеті приблизно 319000-320000 сайтів, які використовують дану систему (по інформації від Гугл), тому їм всім потрібно підвищити безпеку власних сайтів. This entry was posted on 23:10 11.10.2006 and is filed under Уразливості . You can follow any responses to this entry through the RSS 2.0 feed. One Response to “Cross-Site Scripting в phplist” MustLive Says: Четвер, 23:42 12.10.2006 Окрім XSS в phplist також зверніть увагу на Cross-Site Scripting в WP-PHPList . Leave a Reply Name (required) Mail (will not be published) (required) Website Сповіщати мене про нові коментарі на e-mail Меню Головна MustLive Security Pack Генератор XSS Онлайн інструменти Посібник з безпеки Про проект Категорії Security Pack Експлоіти Новини Новини сайту Помилки Програми Статті Уразливості Останні повідомлення Добірка уразливостей Уразливості на www.nist.org Численні уразливості в Mozilla Firefox Уразливість на www.phpbb.com Добірка експлоітів Уразливості на www.gameland.ru Добірка експлоітів Обхід захисту safe_mode і open_basedir у PHP Добірка уразливостей Уразливість на codeide.com Архів Грудень 2006 Листопад 2006 Жовтень 2006 Вересень 2006 Серпень 2006 Липень 2006 Мета Вхід WordPress Стрічка (RSS) Стрічка коментарів (RSS) Copyright © 2006 MustLive . Усі права захищені. Hosting by IT-Lynx . Партнер проекту Websecurity.com.ua - веб проект mlfun.org.ua .