Multiple vulnerabilities in FireStats

Здравствуйте 3APA3A!

Сообщаю вам о найденных мною Insufficient Authorization, Information Leakage, Insufficient
Anti-automation, Denial of Service и Cross-Site Scripting уязвимостях в FireStats плагине
для WordPress (и других CMS).

Insufficient Authorization и Information Leakage:

http://site/wp-content/plugins/firestats/

Можно без авторизации просматривать статистику посещаемости и узнать полный путь на
сервере. А также можно изменять некоторые настройки, в частности Bots list, Excluded IPs и
другие настройки в Settings.

Insufficient Anti-automation:

Возможны автоматизированные запросы, в частности к функции Recalculate database cache и к
функциям изменения Bots list и Excluded IPs.

Эксплоит:

http://websecurity.com.ua/uploads/2008/FireStats%20Insuficient%20Anti-automation.html

DoS:

При автоматизированных запросах к функции Recalculate database cache возможна большая
нагрузка на сервер.

Эксплоит:

http://websecurity.com.ua/uploads/2008/FireStats%20Insuficient%20Anti-automation.html

XSS:

Эксплоит:

http://websecurity.com.ua/uploads/2008/FireStats%20XSS.html

Уязвима версия FireStats 1.0.2 и предыдущие версии (и потенциально следующие версии).

Дополнительная информация о данных уязвимостях у меня на сайте:
http://websecurity.com.ua/2294/

Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua