XSS на почте http://nm.ru

Нашёл 15 мин назад,сделал скриншоты.

Вбиваем в поиск "><script>alert()</>

Скриншот.


И получаем алерт.

Скриншот.


Вот так то ))

 

Кльов всьо пашет +

 

Если кто не видел вот еще пара рабочих xss - /thread18248-nm.ru.html.

 

Tem крут! Только скрины можно было обрезать, а то страницу перекарёжило =)

 

смысла в пассивных xss особого нет
там судя по всему фильтры вообще отсутствуют, <script></script> в теле проходит на ура =()
правда сессии живут не долго...

 

Да Векторг сошласен сисии живут мало, но мне так кажится можна успеть просмотреть почту и взять нужное )))

 

Глаза разуйте и поглядите пост Go0o$E. Я тоже уже писал об этих XSS на форуме.

 

Можит и кто и находил до меня тама КСС, но я просто так просмотрел , и всё что нашёл выложил.

 

Я не помню точно, но по-моему, там ещё есть SQL INJECTION в профиле. Давно смотрел. А так и сразу всю базу можно попытаться утянуть. В личных данных проставьте одиночную кавычку во всех полях, увидите.