Vulnerabilities in vBulletin

Здравствуйте 3APA3A!

Сообщаю вам о найденных мною Abuse of Functionality и
Insufficient Anti-automation уязвимостях в vBulletin.

Abuse of Functionality:

Логины пользователей являются их именами на форуме,
что позволяет выявить логины в системе.

Abuse of Functionality:

На странице http://site/register.php?do=register в
поле Логин можно выявить логины пользователей в
системе. Данная уязвимость позволяет провести Login
Enumeration атаку.

Insufficient Anti-automation:

Учитывая, что данная функция не имеет защиты от
автоматизированных атак, это позволяет проводить
автоматизированное выявление логинов в системе. В
дальнейшем выявленные логины могут быть использованы
для определения паролей пользователей системы.

Insufficient Anti-automation:

http://site/sendmessage.php?do=sendtofriend&t=1

http://site/sendmessage.php

http://site/register.php?do=register

Возможны отсутствие капчи или наличие слабой текстовой
капчи (когда нужно ввести лишь одну и ту же самую
фразу).

Уязвимы vBulletin 3.8.0 и предыдущие версии (и
последующие версии).

Дополнительная информация о данных уязвимостях у меня
на сайте:
http://websecurity.com.ua/3790/

Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua