Создал сайт на основе musimka

Пассивная XSS по всему сайту :)

Выброси его. Говно же

Mstivoj, Что это такое то? Как избавиться? что она может сделать?

тебе дают ссылку на сайт и когда переходишь по ней твой куки попадет в руки ламеру. он потом сменить в арбузе свой id на твой и ставить ворованный кукис, и вуаля сайт для него открыть с твоим аккаунтом

Это в скрипте такая ерунда у меня? как найти эту хсс?

arhmobi, ишешь такой код
$quest = $_POST['quest']; или такой
$quest = $_GET['quest'];
фильтр для активок
$quest = htmlspecialchars($_POST['quest']);
для пассивок
$quest = htmlspecialchars($_GET['quest']);
P.S. вместо $quest и quest может бить q, qu может бить name, и т.д.

arhmobi, К примеру - я кинул тебе ссылку в беседке - посмотри... Чувак под ником ДЕД перешел по ней и я получил его куки
==============
Cookie: PHPSESSID=it1lctgk868mlap3k9tfchodk7; clogin=ДЕД; cpass=25f9e794323b453885f5181f1b624d0b
IP: 37.29.40.255
Date and Time: 30 December, 2016, 7:26 am
Referer: http://arhmobi.ru/arbour.php
===================
Далее подменил их и с его ника там оставил пару коментов а беседке.
P_S. Пассивка в функции бб-кодов.

Mstivoj, бб коды вообще удаляю файл сайт сразу недоступен стал

Mstivoj, Помоги пожалуйста исправить

arhmobi, не надо удалить, а дыри надо закрыть

Или тут

Знаю одно фильтрации нет , отправить в бд можно все пиши в личку объясню

arhmobi, Держи :)

Mstivoj, Большое спасибо друг!

<?php
switch (@$_GET['act']) {
case 'go':
if($u['setting_users_list']) $count = $u['setting_users_list']; else $count = 10;
?>

по твоему тут уязвимость ?

<- switch (@$_GET['act']) {

-> switch (isset($_GET['act']) ? $_GET['act'] : false) {

dcms часто switch ($_GET['act']) инклюдит файлы из 'act' и тп для чего и режут слешы htmlspecial
в данном коде это не дырка.

Mstivoj, Вроде все тоже самое. подскажи пожалуйста , что изменил?