Скрипт форума WR-Forum 2.2 (архив)

При попытке ограничить права к форуму по звездам - выходит ошибка. В файле базы добавляются пустые строки. Не порядок.

так непорядков много... проблема в том, что автора нет уж полгода в эфире :(

СATyPH, автор последний раз был 8.12.2013 в этой теме https://www.wr-script.ru/forum/index.php?id=1041298#m6

СATyPH, я здесь.
Планирую на каникулах исправить мелкие ошибки в скриптах, выпустить несколько обновлённых версий скриптов.

Ну вот и появился начальник, ура!
А мы уж тут волноваться начали

Есть баг. [img]https://www.wr-script.ru/forum/index.php?event=clearcooke[/img]

Это уязвимость IMG
Планируется решение проблемы?

Виктор, продемонстрируй что-нибудь!



-------------------------------
http://alcom.16mb.com/catchit2 <-- приз победителю - семизнак ICQ

Alexand3r, сообщение 150. Нажми цитировать

В принципе на этой странице сейчас могут общаться только гости

Вместо безобидного clearcooke может быть скрипт который украдет твои куки (Логин/пароль)
И не только твои а и куки администратора.
Утечка пароля админа - важность проблемы ясна?

[img]test onmouseover=alert()[/img]

Виктор, ты хотя бы продемонстрируй что-нибудь безобидное, а потом про утечку пароля админа мечтай. Был когда-то тут баг с кавычками, но его закрыли. Можно ещё проверить такой вариант, через [IMG] вставляется картинка, а в теле картинки (например в файле *.jpg) имеется уязвимость.

-------------------------------
http://alcom.16mb.com/catchit2 <-- приз победителю - семизнак ICQ

Да детские шалости эти всякие кавычки.
Вот, не поленился, набросал тестовый пример:
изображение 1px X 1px [img]http://az.w.pw/info/1.gif/[/img]

[url=http://az.w.pw/info/stat.php?id=1.gif]Вот тут смотри все IP посетителей.[/url]
[url=http://az.w.pw/info/test.php]Вот тут смотри все пароли посетителей[/url]


Только пример на бесплатном хостинге. Там ограничена нагрузка на процессор, со всеми вытекающими последствиями.