XSS в коментах

мне кажеться тут присудствует XSS

Code:

http://auto.newsme.com.ua/news/785368/

Строка "гость" кушает <скріпт>
Просто все спят и проверить неукого

 

так есть xss xD

Ваш IP был забанен модератором. Для решения вопроса обратитесь к администрации ресурса.

 

не-а,у мну не скушало(
Он скобки кушает наф...
нет тут хсс...

 

Он не кушает alert("xss") только alert('xss') ну или уже нечего не кушает)

 

В комментариях не нашел XSS, фильтруются <> и javascript

XSS вроде есть в поисковике, основной скрипт протиснул, если продолжить таким же образом и закрыть основные теги, скорее всего получишь пассивную XSS.

пробел между &# и 60 убрать

PHP:

">&# 60;object data="javascript:alert<img src=k onerror="prompt()">(0)">

пример:
http://auto.newsme.com.ua/Default.aspx?page_id=89&q=%22%3e%26%2360%3bobject+data%3d%22javascript%3aalert(0)%22%3e&cx=partner-pub-8729871224188412%3aiz3tkx-cmjg&cof=FORID%3a11

В исходниках чистый код, который нужно вынести вне текстового поля.