XSS в забыл пароль - PullRequest
Новая
       15

XSS в забыл пароль

0 голосов
/ 08 марта 2012

Используя метод POST HTTP, Site Scanner обнаружил, что:

  • Следующие ресурсы могут быть уязвимы для межсайтового скриптинга (расширенные шаблоны):
  • Параметр 'email'/ customer / account / Forgotpasswordpost / CGI: / customer / account / Forgotpasswordpost / [электронная почта = 508 src = http://www.example. com / exploit508.js]

Насколько я вижу код, Magento senitize_GET / _POST.Как я могу это исправить?

1 Ответ

2 голосов
/ 08 марта 2012

Я думаю, это будет зависеть от того, какую версию Magento вы используете. Расположение по умолчанию для рассматриваемого шаблона можно найти по адресу app/design/frontend/base/default/template/customer/form/forgotpassword.phtml. Единственное значение, доступное для редактирования пользователем, которое выводится на экран, - это адрес электронной почты, конечно, в Magento 1.6 это передается через метод htmlEscape блоков шаблона, но стоит проверить, что оно есть в вашей версии Magento. . 

<input type="text" name="email" alt="email" id="email_address" class="input-text required-entry validate-email" value="<?php echo $this->htmlEscape($this->getEmailValue()) ?>" />

Если вы обнаружите, что это уже так, то стоит проверить, не перегружен ли этот шаблон в вашей текущей теме.

...