Forum Heroes' Chronicles

J'ai découvert une faille de sécurité importante mais simple type injection :

Les informations profile gèrent très mal les balises HTML.
Ainsi, quand vous mettez :

<script language="javascript">location.replace("http://www.yahoo.com");</script>

Ca vous redirige vers Yahoo!!
Cette faille utilisée de cette façon est bénine (quoique) mais si à la place de yahoo je mettais l'url de mise en hibernation ou de suppression...

Je n'ai pas eu l'occasion d'essayer d'injecter du PHP (forcément, quand j'essaye d'accceder au profil, c'est Yahoo qui apparait) mais si PHP est actif alors là...

Bref, je vous conseille de réparer ça au plus vite...

Le PHP n'est pas interpreté, pour le javascript je le savais déjà mais disons que je compte sur le fait que personne ne s'amuse a ce genre de chose.
Du coup au revoir le html bonjour le bbcode beaucoup plus limité malheureusement.

A voir, sachant que le pire qui peut etre fait est la redirection vers la page de suppression qui en soit n'est pas suffisante vu qu'elle necessite la validation du joueur.

Une mesure simple va tout resoudre, j'edite quand elle est faite

Et voila, ni le PHP ni le javascript ne peuvent passer desormais (enfin normallement)

Au passage si tu pouvais enlever la redirection vers Yahoo de mon profil... Ce serait sympa

désactive javasrcipt dans ton naviagteur et tu poura Moa