Множественные уязвимости в MercuryBoard

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести XSS атаку и получить доступ к важным данным пользователей.

1. Уязвимость существует из-за недостаточной проверки данных при обработке ‘f’ параметра в сценарии 'forum.php'. Удаленный пользователь может с помощью специально сформированного URL выполнить произвольный сценарий в браузере жертвы. Пример:

http://[target]/index.php?a=forum&f='%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://[target]/index.p hp?a=forum&f='><script>alert(document.cookie)</script>

2. Уязвимость существует из-за недостаточной обработки входных данных в URL параметре аватара. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольный код сценария в браузере жертвы в контексте безопасности уязвимого сайта.

3. Уязвимость существует из-за недостаточной обработки входных данных в параметре "f" в сценарии index.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.

URL производителя: http://www.mercuryboard.com

Решение: Установите последнюю версию 1.1.3 с сайта производителя.