Это как?

Это вывод всех страниц,где возможно >1 поста

Я чего-то туплю. Вы могли бы подробнее рассказать? :)

Был ужасный говнокод по имени post.php, в который с момента создания просто всовывались новые куски. Сейчас я его переписал с нуля.

Этот файл отвечает за вывод главной, блогов, списка постов пользователей, поиска, и постов с определённым тегом.

Ааа :) Теперь ясно :)

что такое блямба справа? и есть ли она слева?!

Это такая хренать справа для обновления каментов

Ты так здорово объясняешь :3

Силён, брат

И находится она в #ebaa ))

CSRF так и не убрали ))

JAFA?

Подробней, куда здесь можно пропихнуть xss, чтоб это было уязвимостью?

CSRF не подразумевает, что XSS обязательно должно присутствовать на этом сайте. Можно найти на любом другом из тысячи тысяч и успешно использовать.

Ну и для всех действий, которым можно так подгадить, используется POST+проверка на пустоту.

POST обходится элементарным javascript. При отключённом javascript существует более 9000 способов заставить пользователя нажать на кнопку.

Не знаю, что Вы назвали проверкой на пустоту, но поля профиля на пустоту не проверяются. Допустим, эта проверка будет в профиле(кстати, не поможет, т.к. ничего не мешает заполнить все поля), но как Вы собираетесь делать её в постах-комментах?

Раз уж Вы напросились на POC, вот вам HTML-страница(срок 1 день, пароль у Вас в личке), которую можно поместить где угодно - локально, на собственном сайте, в виде скрытой формы на странице с полезной информацией и т.п.
ВАРНИНГ: При открытии(и включённом javascript) показывает алерт, а потом зануляет профиль и делает ICQ=111. Единственное требование - быть залогиненным на сайте. Сами понимаете, что может и не занулить, а например прописать свою почту, сменить пароль, а потом разлогинить. Я уже не говорю про возможность тем же способом постить спам что угодно от Вашего имени в блог, комментировать другие посты или открывать закрытые только для друзей.

Советую не изобретать велосипед, а защититься проверенным способом, благо он несложный.
При смене данных профиля, особенно e-mail, неплохо бы тоже спрашивать пароль, а то мало ли кто там что поменять захочет, пока Вас нету :).

Фак, вечером пофикшу.

Не говоря уже о том, что можно создать свою страницу и любым доступным способом заманить туда пользователей. Например, действительно наполнить её полезной информацией :).

фак, все забаненные разбанились...

э, этот кусок вообще не менялся