Wie am Donnerstag berichtet, wollte ich wissen, ob Finn Goatse mag. Offensichtlich nicht, denn das Loch in der Suche wurde gefixt. Naja, gefixt ist das falsche Wort, würgaraundet eher:

XSS in der erweiterten Suche nach Region (PLZ-Feld)
XSS im Kontaktformular (Namens-Feld)
XSS im Kontaktformular (EMail-Feld)
XSS im Alarmformular (Namens-Feld)
XSS im Alarmformular (EMail-Feld)

Und das ist erst der Anfang, aber ich habe gerade keine Lust weiter zu forschen... Gute Nacht.

german offtopic security

None

Zhenech: Ahja, vergessen, die Website-URL im Alarmformular geht natürlich auch: http://www.fragfinn.de/kinderliste/tools/alarm.html?websiteUrl=%22%3E%3Cimg%20src=%22http://goat.cx/pump.jpg%22%3E
Zhenech: Und noch einer:
http://www.fragfinn.de/kinderliste/suche.html?start=--%3E%3Ch1%3EHalloFrauMerkel%3C/h1%3E&q=sex&zip=&school=

Memo: Never ever show error messages in pages to the user.