Посоны, я нашёл уязвимость с помощью W3AF. Code: eval() input injection was found at: "http://XXX.XX/bitrix/cache/js/s1/Lang_XX/kernel_main/kernel_main.js", using HTTP method GET. The sent data was: "1433756303317063=Thread.Sleep(9000)%3B". This vulnerability was found in the request with id 19399. Я понимаю, что это инъекция, но, дяди хакеры, объясните как воспользоваться ею?
в чем проблема проверить руками? в браузере вбей "http://XXX.XX/bitrix/cache/js/s1/Lang_XX/kernel_main/kernel_main.js?1433756303317063=Thread.Sleep(9000);" запрос висит - инъекция есть страница грузится без задержек - инъекции нет но как сказал BabaDook вряд ли инъекция там есть, js отдаётся "как есть", то есть не принимает параметров, конечно возможна мифическая ситуация когда файлы с расширением js будут проходить обработку через какой нибудь php скрипт, но директория /cache/ как бы намекает /*всё равно проверь*/
