Межсайтовое выполнение сценариев в FuseTalk

Описание:
Обнаружено межсайтовое выполнение сценариев в FuseTalk. Удаленный атакующий может получить важные данные пользователей.

Уязвимость существует из-за недостаточной фильтрации данных в теге img. Атакующий может заменить кавычки (“”) на знак вопроса (?) и обойти механизм фильтрации.

Также уязвимость существует в параметре 'ProfileID' модуля 'tombstone.cfm'. Пример:

tombstone.cfm?ProfileID=<script>alert(documen t.cookie)</script>

И в модулях 'searchresults.cfm' и 'usersearchresults.cfm':

http://[target]/forum/usersearchre sults.cfm?keyword=<script>alert(document.cookie)</script>&FT_ACTION=SearchUsers

URL производителя: www.fusetalk.com/

Решение: Решение не существует на данный момент.