Это замечание об уязвимости в данном скрипте я сделал для всех посетителей форума, чтобы они были в курсе перед использованием данного скрипта. На веб сервере такой скрипт использовать нельзя (до исправления уязвимости). На локальной машине вполне можно запустить без особого риска (естественно по LAN могут атаковать, но здесь риск меньший, это лишь нужно учитывать и в локальной сети держать только надёжные хосты).
При этом нужно не забыть о дыре и случайно на сайт в Интернете не положить этот скрипт или фрагмент кода из него. О том, как публичный код (или публичная флешка) может стать популярной и разойтись со своими дырами на миллионы сайтов, я писал в своих статьях о
XSS уязвимостях в 8 и 32 миллионах флеш файлах. Я регулярно нахожу такие дырявые флешки-миллионники. Можно только догадываться, сколько человек скачали этот дырявый скрипт (или взяли часть его кода) и разместили на своих сайтах в Сети. Опенсорс приложения быстро распространяются, вместе со своими дырами, а т.к. забивание на безопасность у опенсорсеров не меньшее чем у клоседсорсеров, то в итоге имеем миллионы дырявых сайтов с дырявым ПО (и так для каждой популярной опенсорс программы, где тысячи, где миллионы, а где и сотни миллионов дырявых сайтов). О чём я говорил в своём
докладе на конференции в прошлом году.
Цитата
такой казалось бы элементарный скрипт - и на тебе.
Дыры бывают везде - в любом коде, что простом, что в сложном. И в простых веб приложениях они встречаются достаточно часто, ведь на такие скрипты (будь-то JS/AS или серверные скрипты) разработчики особо не обращают внимания, ложно полагая, что в паре строк кода неоткуда взяться дырам. Ну и естественно, подавляющее большинство веб разработчиком и владельцев сайтов аудиты безопасности разработанного и/или используемого ПО не проводят. В данном случае это небольшая проблема, всего-лишь DoS, но автор скрипта мог постараться и сделать RCE

. Тогда опасность была бы гораздо выше и сайты с этим скриптом могли бы иметь по полной программе.