Здравствуйте 3APA3A!
Сообщаю вам о найденных мною Insufficient Anti-automation, Abuse of Functionality и
Cross-Site Scripting уязвимостях в плагине Contact Form ][ для WordPress.
Insufficient Anti-automation:
Отсутствие капчи позволяет слать автоматические сообщения (в частности спам) админам сайта.
Abuse of Functionality:
На странице контактов есть функция “Send a copy to yourself”. Она включается в настройках
(Carbon-Copy ability) и приводит к тому, что через сайт можно рассылать спам (как админу,
так и на произвольные емайлы).
А с использованием Insufficient Anti-automation уязвимости можно автоматизировано рассылать
спам с сайта в больших объёмах.
Эксплоит:
XSS:
POST запрос на странице http://site/contact/:
"><script>alert(document.cookie)</script>
В полях: Your Name, Your Email, Subject.
</textarea><script>alert(document.cookie)</script>
В поле: Your Message.
Уязвима версия Contact Form ][ v2.0.13 и предыдущие версии.
Дополнительная информация о данных уязвимостях у меня на сайте:
http://websecurity.com.ua/2328/
Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua