http://www.x2b.ru
 

Прошу проверить.
Файловый хостинг с прикрученным биллингом, двиг самописный.

Ссылка: http://www.x2b.ru

Каждому нашедшему уязвимость/недочёт +5 ( (с) [x26]VOLAND :) )

З.Ы.
Актуально! Сменилось ПО сервера.

Актив ХСС в поле Имя в личном кабинете, заюзать может не выйдет но факт :)

Там же в других полях аналогично.

зарегил ник lol' - писалось - что зарегил удачно - но не заходит ..
проверь создалась ли учётка в базе..
и запрети регу с никами содержащими ковычки итд.

Запись создалась, не заходит т.к. при входе кавычка экранируется. Пасибо, регу с кавычками и т.п. запрещу.

вот ещё что хспайдер выдал
http://www.x2b.ru/cgi-bin/upload.cgi?filex1=1&step=1&password=%22%3E%3Cscrip t%3Ealert%28%27PTsecurity+Scanner+Test%27%29%3C%2F script%3E%3C%22

прим. BlackSun: кто будет юзать спайдеры-хуяйдеры, тот получит тройную клизму в репу! я предупредил.

+видимо, какой-то инжект:
если в имени загружаемого файла есть ' (одинарная кавычка), то состояние загрузки: 0%, притом написано "статус: закончено"

Хмм.. Поддерживает вроде. Может у тебя ип сменился, между попытками?
-----------------
Пофикшено! Спасибо! (Это был не иньект, а экранирование и при передачи имени файла на копирование)

Раскрытие путей
http://www.x2b.ru/users/registration.html

<input type="text" name="login" maxlength="15" value="">
меняем на
<input type="text" name="login[]" maxlength="15" value="">

Раскрытие путей все еще актуально ...
http://www.x2b.ru/users/registration.html

На этод раз поле name

-------

Попути загляни еще в http://www.x2b.ru/users/login.html
Там тоже раскрытие путей)
Поле password
-------

XSS
http://www.x2b.ru//cgi-bin/upload.cgi?id['></textarea><script>alert("BlackSun")</script>]=1

_______
6 октября, баги еще актуальны ;)

1. Если нажать сменить личные данные в поле имя -vой пароль! эт как?

2. http://kkk.x2b.ru/ - мой логин KKK , написано "Каталоги пользователя [мой пасс]"

3. Загрузил файл с длинным именем, заходу по ссылке для скачки файла и вижу что имя невлезает, и не обрезалось.. короче из таблицы выехало http://www.x2b.ru/get/49309


halkfild :
тут отображается твое имя, а если оно совпало с паролем, то это ничего не значит

з.ы. сменил пасс на 987654321