Authorization bypass in Urchin

Здравствуйте 3APA3A!

Сообщаю вам об ещё одной уязвимости в Urchin Web Analytics.

В ваших новостях (http://securityvulns.ru/news/CGI/2007.09.25.html) упоминается Cross-Site Scripting уязвимость в Urchin. Относительно данной уязвимости замечу, что как я уже написал автору в комментариях к его сообщению с описанием уязвимости, я о ней уже писал месяц назад у себя на сайте (http://websecurity.com.ua/1283/). Данную XSS я опубликовал по информации от RSnake, но как заметил автор сообщения, он нашёл её ранее.

Но как я писал, это не единственная уязвимость в Urchin. Помимо указанной XSS, также имеется Authorization bypass уязвимость. Которая представляет ещё большую опасность, т.к. в аккаунт Urchin можно попасть без знания логина и пароля.

Authorization bypass:

http://site:10000/report.cgi?profile=x&rid=42&prefs=x&n=10&vid=1301&bd=20070703&ed=20070703&dt=4&gtype=5

Дополнительная информация о данной уязвимости у меня на сайте:
http://websecurity.com.ua/1283/

Уязвима версия Urchin v5.7.03 и возможно предыдущие версии.
Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua