pzs írta:

fórumomban linkeltek egy adatlapot, itt: http://userscripts.org/topics/17920?page=11#posts-155350

Az xss-t kihasználva (jelen pillanatban) csak egyedi háttérképet állított be magának a gyerek [az iwiwen], ami ilyen szintig még poén, de írtam iwiwnek (ebben a pillanatban), h javítsák már - kíváncsi leszek a reakcióidőre.

Amúgy munkahely webcímhez lehet xss-t írni (régi és új fajta munkahely megadásnál is működik) - de úgyis látni fogod.

Ha gondolod, publikáld, bár lehet kéne várni vele kicsit, hátha gyorsan javítják.

Más: indapass.hu-n is van xss, ott a jelszó emlékeztető boxba lehet írni email cím helyett a kódot. És ahogy próbáltam úgy is lehet sessiont lopni, ha csak blog.hu-ra vagy belépve, ill. jelszó emlékeztető belépett állapotban is működik - ami akkor nem lenne létszükséglet.

ezt meg bezlapat:

egy "apró" persistens xss sebezhetőséget találtam az index fórumban. a
következőről van szó:
új hozzászólás írásakor felvehetünk linkeket ("új link:" sor). itt
megadhatunk egy url-t és egy "szöveg"-et. elsőre szépen szűri a bemenő
adatot, viszont módosításnál már nem teszi ezt meg. ergo módosítás
után tetszőleges html kódot tudunk beilleszteni a hozzászólásunkba

Az illetékeseket értesítettem, a publikáció időpontjával igyekeztem egyensúlyt találni a felelős és a hatásos nyilvánosságrahozatal között...