Активная XSS в Counter-Strike 1.6

Нашел багу в CS 1.6 только на surf серверах, где стоит surf статистика...

Для того чтобы её применить вам надо:
1) Сначала изменить ник (html работает)
Например:

Code:

<script>alert("xss")</script>

Либо изменяете ник на что хотите, если дефейс нужен))
2) Надо попасть в /top3
На surf сервере это не сложно если умеете играть

Теперь у каждого при просмотре /top3 будет виден ваш html код (преобразованный естественно)

 

боян =\

все равно это уй-ня!

 

Была xss в кс в стате не спорю, но это как давно было и давно уже на новых амхх не пашет

 

а собственно с какого текст в /topN должен преобразовыватьсяв html? зачем?

 

Отображение wellcom - message и всех всплывающих окон реализована на ActiveX осла

 

Будет стоять 28 патч или Hlg хрен чо замутишь....

 

куда вводить то, я чёта не понял oO? прям в игре или куда?

 

Так там же ники режутся? т.е. больше 10 или скока там символов не напишешь ник...

 

Там же, вроде, можно играть с любым ником, а потом поменять свой ник в веб-статистике, только для начала нужно зарегиться. Ну это при условии, если статистика считает по Steam_id. Как-то сам пробовал.
Ну это на примере Psychostats =\

 

В последних psyhostats'ах это фильтруется...

 

Ну да, с паблика быстро палят =))