Уязвимости в Easy Contact для WordPress

Здравствуйте 3APA3A!

Сообщаю вам о найденных мною Insufficient Anti-automation, Abuse of Functionality и Cross-Site Scripting уязвимостях в плагине Easy Contact для WordPress.

Insufficient Anti-automation (WASC-21):

Отсутствие капчи на странице контактов позволяет слать автоматизированные сообщения (в частности спам) админам сайта. Капча отключена по умолчанию, а тип текстовой капчи Challenge Question является ненадёжным, так как значение является фиксированным.

Abuse of Functionality (WASC-42):

На странице контактов возможна отправка спама через функцию Carbon Copy (Email yourself a copy). Она включена по умолчанию и приводит к тому, что через сайт можно рассылать спам как админу, так и на произвольные емайлы.

А с использованием Insufficient Anti-automation уязвимости можно автоматизировано рассылать спам с сайта в больших объёмах.

Эксплоит:

http://websecurity.com.ua/uploads/2011/Easy%20Contact%20Abuse%20of%20Functionality.html

XSS (WASC-08):

Эксплоиты:

http://websecurity.com.ua/uploads/2011/Easy%20Contact%20XSS.html

http://websecurity.com.ua/uploads/2011/Easy%20Contact%20XSS-2.html

http://websecurity.com.ua/uploads/2011/Easy%20Contact%20XSS-3.html

http://websecurity.com.ua/uploads/2011/Easy%20Contact%20XSS-4.html

Уязвимы Easy Contact 0.1.2 и предыдущие версии.

Дополнительная информация о данных уязвимостях у меня на сайте:
http://websecurity.com.ua/5055/

Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua