Frau Merkel mag Goatse, Finn nicht so sehr
Wie am Donnerstag berichtet, wollte ich wissen, ob Finn Goatse mag. Offensichtlich nicht, denn das Loch in der Suche wurde gefixt. Naja, gefixt ist das falsche Wort, würgaraundet eher:
XSS in der erweiterten Suche nach Region (PLZ-Feld)
XSS im Kontaktformular (Namens-Feld)
XSS im Kontaktformular (EMail-Feld)
XSS im Alarmformular (Namens-Feld)
XSS im Alarmformular (EMail-Feld)
Und das ist erst der Anfang, aber ich habe gerade keine Lust weiter zu forschen... Gute Nacht.
Comments
Ahja, vergessen, die Website-URL im Alarmformular geht natürlich auch: http://www.fragfinn.de/kinderliste/tools/alarm.html?websiteUrl=%22%3E%3Cimg%20src=%22http://goat.cx/pump.jpg%22%3E
Und noch einer:
http://www.fragfinn.de/kinderliste/suche.html?start=–%3E%3Ch1%3EHalloFrauMerkel%3C/h1%3E&q=sex&zip=&school=
Memo: Never ever show error messages in pages to the user.