0-day forumcommunity, JS illecito reso possibile

Poco tempo fa, vidi su un forum un post, dove un ragazzo di 16 anni scriveva di aver scoperto un exploit per forumcommunity/forumfree, i quali sono due delle più frequentate community per la creazione facile e veloce di forum, e come al solito il mio primo pensiero fu: "il solito lamerino che vuol farsi belloccio dicendo cagate...", così chiesi in modo arrogante se poteva aggiungermi su skype per farmi vedere questo exploit, del quale, ovviamente, dubitavo al 100%; ebbene, mi sbagliavo alla grande.
Il suddetto exploit permetteva di eseguire codice javascript non permesso da forumcommunity, come l'uso di un Iframe oppure la classica chiamata al document.cookie, e vidi con i miei stessi occhi, increduli, che FC grabbava come una cagna arrapata (WTF?? Roba da nerd)...
Così mi mostrò il suo forum e da lì, gli snocciolai l'exploit passo dopo passo finchè non riuscii proprio qualche sera fa a finirlo anche su un mio forum creato ad hoc...

Non mi ritengo creatore di questo 0-day, ma sono felice perchè finalmente le mie conoscenze sono bastate per trovare un bug in una grande community.
Per adesso non ho intenzione di segnalare il bug, forse perché, nella mia immaturità morale, lo considero quasi un tesoro personale, intanto voglio continuare a provare per vedere fino a che punto questo bug si possa espandere, e probabilmente quando sarò arrivato a delle conclusioni concrete segnalerò il bug.
Comunque sia, ho postato lo screen del forum su cui l'ho provato, il quale ovviamente ho cancellato, per mostrarvi che non dico cazzate.

Vorrei, con suo consenso, dire esplicitamente, che il suo nick è huggye e ne approfitto per ringraziarlo molto...

Scrivo comunque questo articolo, perché sono rimasto abbastanza deluso dalla sicurezza di forumcommunity, che non filtra i codici che riceve, e per avvertirvi di stare attenti, perché tramite questo bug, siamo riusciti anche a immettere un fake-login nella pagina.
Per sicurezza, quindi, controllate sempre se avete effettivamente fatto il log-out o è solo la pagina che "fa finta che voi noi siate loggati".

A presto...