 Autor
|
Tema: Xss en smf 1.1.4? (Leído 4,015 veces)
|
|
|
-explicito-
 Desconectado
Mensajes: 57
|
solo para actualizarlo.. comprado. hay que ser moderador. para poder explotar esta vulnerabilidad.  No creo que aqui existan Traisioneros que quieran abusar de confianza  |
|
|
|
|
En línea
|
|
|
|
дٳŦ٭
GNU/Linux Infrastructure Specialist
Ex-Staff
Desconectado
Mensajes: 5.110
|
Es porque tienes permiso para introducir html en las noticias, no es ningún xss.
|
|
|
|
|
En línea
|
|
|
|
|
Hendrix
|
Es porque tienes permiso para introducir html en las noticias, no es ningún xss.
xDDD Exacto, para hacer eso metes directamente eso dentro del index y tambien sale 
|
|
|
|
|
En línea
|
"Todos los días perdemos una docena de genios en el anonimato. Y se van. Y nadie sabe de ellos, de su historia, de su peripecia, de lo que han hecho, de sus angustias, de sus alegrías. Pero al menos una docena de genios se van todos los días sin que sepamos de ellos". - Juan Antonio Cebrián |
|
|
|
Ertai
|
El colmo de los colmos.
Ahora los admin prueban XSS con sus foros, no?
|
|
|
|
|
En línea
|
Si la felicidad se comprara, entonces el dinero sería noble. void rotar_by_ref(int& a, int& b) {
/* Quien dijo que no se podia sin una variable temporal? */
*a = *a ^ *b;
*b = *a ^ *b;
*a = *a ^ *b;
}
|
|
|
yeikos
Desconectado
Mensajes: 1.424
|
Sería un tema a debatir, el de si los programadores, conscientemente, no establecieron un sistema de filtración en la variable de los nombres de los subforos y de los grupos...
Que no exista tal protección en un sistema de noticias puede ser pasable, ¿pero qué utilidad puede tener alterar el contenido a visualizar de dos variables cuya única función es mostrar un dato constante e informativo? Estoy hablando de los módulos manageboards y membergroups...
A pesar de los daños que podrían ocasionar estos ataques, existen las sesiones de identificación, las cuales nos protegen contra posibles actos no deseados, en nuestro foro, al visitar cierto tipo de páginas Web con código malicioso.
Hablo de la ejecución de ciertas operaciones mediante formularios que se auto envían al visitar una página Web, previamente manipulada para ello, claro ésta. Si desconocemos el identificador de sesión, que es un combinación alfanumérica generada pseudo-aleatoriamente en cada sesión, no podremos ejecutar esa serie de operaciones.
Conclusión... no hay peligro inminente.
|
|
|
|
|
En línea
|
|
|
|
|
 |
