Błąd w serwisie Trezor-Club.com

W serwisie Trezor-Club.com występuje błąd który tak jak w przypadku internetowych stron prezydenta umożliwia zamieszczenie dowolnego zdjęcia, obiektu flash bądź innego tego typu elementów.

Błąd występuje w serwisowej galerii zdjęć, a problemem jest złe przyjmowanie argumentów jednej ze zmiennych. W efekcie oznacza to brak kontroli nad przesyłanymi informacjami i tak bez problemu możemy wywołać dowolny kawałek kodu. Aby to uczynić wystarczy, że wywołamy następujący adres:

http://www.trezor-club.com/galeria/nailer.php?did=”>DOWOLNY KOD<a

zaś do zmiennej „did=” wpiszemy dowolny kod który zostanie poprzedzony zapisem „> a zakończony <a

Dla przykładu wyświetlimy dowolne zdjęcie oraz kod Java Script