Программа: FarsiNews 2.5.3 Pro, возможно более ранние версии.
Уязвимость позволяет удаленному пользователю произвести XSS нападение.
Уязвимость существует из-за недостаточной обработки входных данных в параметре "selected_search_arch"
в сценарии search.php. Удаленный пользователь может с помощью специально
сформированного запроса выполнить произвольный код сценария в браузере жертвы в
контексте безопасности уязвимого сайта.
Пример:
script>alert(document.cookie)</script><!
http://[target]/[farsinews_path]/search.php?selected_search_arch=%3E%3Cscript%3Ealert
%28document.cookie%29%3C%2Fscript%3E%3C%21--
Удаленный пользователь может указать некорректное значение для параметра "archive"
в сценарии index.php и получить данные об установочной директории приложения на
системе.
