возможный XSS в через Search Highlighting (компонент AjaxSearch)

Может я что-то и упустил и это уже было...

http://modx.ru/about/advantages?searched=MODx&highlight=%22%20style=color:blue;font-size:300%

Теоретически в highlight должно передаваться имя класса для подсветки, а можно и все остальное. "Search Highlighting" - плагин идущий в составе MODx по умолчанию.

Вроде не было.
Хотя в чистом виде все нехорошие теги вроде фильтруются, но всё равно штуки можно прикольные делать.
Спасибо за сообщение!

Надо бы припрятать — я всё таки нашел способ эксплутации, т.ч. это уже не возможный, а реально существующий XSS.

Кажется поспешил я с рапортом об успешности — дальше алерта с куками дело у меня идёт с большим трудом. Но, думаю, более опытние товарищи наверняка найдут способ Т.ч. всё равно нужно прикрыть это дело и предоложить отключить плагин во избежание, как минимум, всяческих глумлений

Пока единственное приемлемое решение - отключить плагин "Search Highlighting". Подвержены атаке практически все сайты на MODx.

Кто владеет английским - отпишите разработчикам. Объясните, что передавать так имена классов не есть хорошо.

интересно, это о том же или нет?
http://modxcms.com/forums/index.php/topic,20679.0.html

Quote from: Segr at Dec 14, 2007, 12:16 PM

интересно, это о том же или нет?
http://modxcms.com/forums/index.php/topic,20679.0.html

нет там старая беда со старой версией поиска

http://modxcms.com/bugs/task/988
Вроде как исправлено в "MODx revision 3303".

А где бы на эту ревизию посмотреть?