[XSS] login.php (global_registers)

  • Hallo,

    mir ist gerade aufgefallen, das keine Meldung angezeigt wird, wenn man bspw ein neuen Passwort beantragt und dann den Link in der Mail bestätigt, erscheint einfach nichts, bzw man ist nur auf der Login Seite, dann habe ich das mal bei einem Live Shop von uns getestet da ging es, an dem Server bzw dem VHost ist auch "global registers" an.
    Dort stand dann die Normale Meldung:

    Code
    Ein neues Passwort wurde per E-Mail verschickt.

    mir ist dann aber Aufgefallen, das dieses von der Adresszeile kommt...
    und habe mal etwas rumprobiert :)
    hier mal eine LiveDemo des Fehlers :) HTML Code wird übriegens auch Akzeptiert...
    Link:

    Code
    http://xtc.shops.gunah.org/login.php?info_message=%3Ch1%3EHallo%20seo-template%20user,%20wie%20gehts%20so?,%20mir%20gut%3Cbr%3EGru%DF%3Cbr%3Edein%20Shopsystem%3C/h1%3E

    ich habe den Fehler momentan wie folgt gelöst:
    In der Datei:
    1)
    password_double_opt.php
    Suche nach:

    Code
    xtc_redirect(xtc_href_link(FILENAME_LOGIN, 'info_message='.urlencode(TEXT_PASSWORD_SENT), 'SSL', true, false));

    und ersetzte es mit:

    Code
    $_SESSION['info_message'] = TEXT_PASSWORD_SENT;xtc_redirect(xtc_href_link(FILENAME_LOGIN, '', 'SSL', true, false));

    2)
    login.php
    Suche nach:

    Code
    //if ($_GET['info_message']) $info_message = $_GET['info_message'];

    ersetzte es mit:

    Code
    $info_message = '';
    if ($_SESSION['info_message']) $info_message = $_SESSION['info_message'];
    $_SESSION['info_message'] = '';


    Ich weiss leider nicht, von welchen Dateien $_GET['info_message'] gefüttert wird...

    PS: bei global_registers off wird nichts angezeigt, da bleibt alles Leer...

    Mein Beitrag im Supportforum: http://anonym.to/?http://www.xt…ead.php?t=65861

    Funktioniert auch in commerce:SEO

    Gruß
    Mathis Klooß

  • so hier mal das Log von notepad++ in welchen Dateien es vorhanden ist:

    und hier das Log für die HTML Dateien:
    in den HTML Dateien sind zwar diese Variablen vorhanden nur sind diese Unwichtig...