Kolejna dziura na internetowej stronie prezydenta

Swego czasu pisaliśmy o dziurze na internetowej stronie prezydenta RP Aleksandra Kwaśniewskiego, która umożliwiała bardzo łatwą redakcję tekstów oraz modyfikację zapytania SQL. Niestety jak się okazuje to nie koniec problemów. Otóż, jak poinformował nas Bogusław F. istnieje jeszcze jeden błąd który pozwala na umieszczenie dowolnego zdjęcia, obiektu flash bądź innego tego typu elementów.

Aby to uczynić wystarczy skorzystać z wyszukiwarki serwisowej dostępnej na stronach prezydenta i jako zapytanie wpisać np.: odwołanie do zdjęcia:
<img src=http://www.prezydent.pl/img2/prezydent.jpg>
W efekcie jako wynik na stronie pojawi się zdjęcie. Oczywiście możemy spróbować wpisać inne elementy np.: odwołanie do obiektu flash.

Również możemy odwołać się bezpośrednio do adresu wyszukiwarki poprzez następujący link: http://www.prezydent.pl/ser/search.php3?search=><img%20src=http://www.prezydent.pl/img2/prezydent.jpg>

Istotne jest również aby podczas zapisu deklaracji nie używać ” ” (cudzysłowa) gdyż są one filtrowane i w efekcie zostaną poprzedzone zapisem: \”