Ya vBulletin merupakan aplikasi forum dimana ketika kita mendengar mengenai aplikasi tersebut, terlintas di pikiran kita adalah suatu aplikasi yang “cukup aman”.Tetapi seiring dengan perkembangannya, ada beberapa fitur yang ditambahkan semisal “profile customization”, sehingga tidak menutup kemungkinan akan munculnya vulnerability/kelemahan baru dalam aplikasi tersebut.
Pada area kustomisasi, pengguna sangat mungkin untuk menambahkan atau merubah kode warna seperti : #00112233, kode RGB seperti rgb(255, 255, 255) dan bahkan gambar!. Ini sangat dimungkinkan dengan menambahkan url(‘path/ke/gambar.jpg’). Bahkan bisa lebih dari itu…
vBulletin Dengan fitur baru dari vBulletin cms ini dimana sistem dapat menerima input dari user, sangat dimungkinkan untuk disisipi kode-kode tertentu untuk kepentingan tertentu. Misalnya memasukkan string tertentu ?’ABCD”/\>< .
vBulletin Seperti yang terlihat pada gambar diatas, kustomisasi profil pada vBulletin mengijinkan karakter untuk dimasukkan(bahkan meskipun inputan tersebut invalid).
Pada contoh diatas, setiap aphostrope(kutip satu ‘) dirubah menjadi : \’ dimana langkah ini adalah baik karena jika hal tersebut diijinkan hacker dapat sangat mungkin untuk menambahkan javascript ke dalamnya. Tetapi ada 1 hal lainnya yaitu quotes(kutip dua) dan tag HTML tidak di-encode/di-escape. Ini sangat memungkinkan hacker untuk melakukan injeksi tag HTML. Namun script javascript disini tidak dapat di-inject kedalamnya, karena penggunaan dari preg_match() nya PHP.
Bukan berarti tag