1.3.1 XSS уязвимость в XenForo?

Ходить вокруг да около не буду:

Создаем новую тему, суем туда

На выходе получаем:


Уж как украсть куки и тем более как юзать — расписывать не буду.
Работает не на всех версиях xenForo.

У себя пофиксилось фильтром bb-кода </script>

 

поржал
Ну попробуйте создать тему здесь на форуме с этой "уязвимостью"

P.S. Мой совет - не ставьте кривых дополнений, не будет и уязвимости (99% что это хак хайда)

 

Не исключено, я показал что есть, надеюсь кто у себя найдет - прикроет дырку

 

@.v1nest, просто тогда пишите что уязвимость в таком-то и таком-то дополнении, а не уязвимость xenforo. А еще лучше в теме дополнения если такая есть здесь на форуме.

 

Это в заголовок или в текст совать?

 

сценарий должен быть в теге code

 

На выходе получаем:

Код:

"><script>alert(/BruteZoneTeam/)</script>

--- добавлено : Sep 26, 2014 9:35 AM ---

Код:

<script>alert(/BruteZoneTeam/)</script>

--- добавлено : Sep 26, 2014 9:37 AM ---
И что дальше?