Hallo,
habe eventuell eine Schwachstelle gefunden, jedoch noch nicht getestet.
Die Lücke betrifft das Empfehlungen-Widget rechts unten.
Der Titel wird nicht escaped.
Aufgefallen ist mir das bei @bodo92 Beitrag:
https://www.html.de/threads/i-in-h4-erlaubt.54767/
HTML Tags gehen also definitiv durch.
Die Frage ist nur ob s auch ausgeführt werden.
Ich versuch es gerade mal mit dem Beitrag hier.
Wird einfach weggelöscht. Hatte den Beitrag von dir eben als „Empfehlung“ steht dann einfach nur
„Mögliche XSS Lücke“, aber nix im Log
Beim Widget (Empfehlungen) wird es wegeschnitten aber anscheinend nicht escaped. Hier im Thread wird der Titel ordnungsgemäß dargestellt und escaped, sowie im Beitrag.
Könntest du es mal so versuchen in deinem Titel:
">
Möchte jetzt keinen extra Thread dafür aufmachen.
">
Hatte gestern auch noch eine Anpassung gemacht (base64 String als src). Leider aktualisiert das AddThis-Widget nicht mehr und hat noch den Stand von gestern Nachmittag. Deshalb bringt es auch jetzt nichts den Titel noch mal zu ändern. Ich weiß aber was du meinst, das Attribut scheint auch nicht escaped zu werden.
Was auch noch klappen könnte:
[HTML][/HTML]
Bin mir zu 99,9% eigentlich sicher, das da eine XSS durch kommt. Man muss auch sicher nicht einen base64 String als src haben, sollte auch so klappen.
In der Third Party Libary swfupload.swf, ist auch eine XSS vorhanden…
Ja, denke auch dass man da was anstellen kann.
Naja, das mit dem
Toll, jetzt lässt sich der Titel nicht mehr bearbeiten. 
Wenigstens bekomme ich meine eigenen Beiträge nicht vorgeschlagen 
Aufeinmal steht der Thread jetzt immer bei Empfehlungen und es kommt immer der nervige alert xD.
Bitte, bitte, bitte mach den nervigen alert raus. 
Und wie ich erschrocken bin :eek:
Ja, bitte den Alert raus nehmen, ich hab den Thread nur noch auf dem Handy unter Empfehlungen
Zum Glück bin ich noch nie auf die Idee gekommen, das Board per Handy zu besuchen.
Titeländerung vorgenommen. Original war:
Mögliche XSS Lücke
EDIT:
Habe nun auch das Original hier unkenntlich gemacht. Habe festgestellt, dass das onerror-Event auch innerhalb des Beitrags gefeuert wird. Daher steht dort ein „galert“ statt „alert“.
EDIT 2:
Bin mir nicht mehr sicher wg. o.g. Verdacht. Die Empfehlungen rechts zeigen mir manchmal den Originaltitel noch an. Vermutlich werden diese Daten gecached und nur zeitversetzt aktualisiert. D.h. wir müssten hier nur noch „einen Moment“ warten.
Ich habe die Empfehlungen einmal bis zur Klärung deaktiviert.
Will grad nur mal was testen.
">
javascript:alert(1);
[SPOILER=„“>„]“>
javascript:alert(1);
[/SPOILER]
javascript:alert(1);
">
EDIT:
URL:
Vulnerable Parameter:
POST: name=">
Teste das bitte nochmal.
Jetzt wird alles richtig escaped. Sollte ich im laufe der Zeit noch weitere Lücken finden, melde ich diese natürlich hier.