Межсайтовый скриптинг и раскрытие информации в Whois.Cart

Описание:
Уязвимость позволяет удаленному пользователю произвести XSS нападение и просмотреть произвольные файлы на системе.

1. Уязвимость существует из-за недостаточной обработки входных данных в параметре 'language'. Удаленный пользователь может с помощью специально сформированного URL просмотреть произвольные файлы на системе. Пример:

http://[target]/whoiscart/?language=../../../../../../../../../../../../../etc/passwd%00

2. Межсайтовый скриптинг возможен из-за недостаточной проверки входных данных в параметре 'page' сценария 'profile.php'. Удаленный пользователь может создать специально сформированный URL и выполнить произвольный HTML сценарий в браузере жертвы в контексте безопасности уязвимого сайта. Пример:

http://[target]/whoiscart/profile.php?page=INSERT_JAVASCRIPT_HERE

URL производителя: whoiscart.net

Решение: Способов устранения уязвимости не существует в настоящее время.