Friends of Suite
Версия: v.1.3


Активная XSS от любого пользователя(100% кража куки админа)

Уязвимый скрипт: friend.php
Запрос: reg_name=<h1><script>alert(/xss/);</script>XSS</h1>&reg_adress=http://127.0.0.1/
Метод: POST
Уязвимый кусок кода:
Теперь попробуйте добавить сайт с названием <h1>xss</h1> и любым url'ом где есть ссылка на ваш хост.
Смотрим админку, и вот! XSS видна :P
Хотя script удаляет...