花香盈路(俺测试的是Hxcms Ver6.6版)和以前的动网一样,存在cookies欺骗漏洞,
使得我们可以修改任意前台用户的资料.
好像旧的版本没有这个漏洞吧,呵,我没试过,不知道.

另外他的user_data.asp文件也没有对用户的ID进行过滤,
userid=Request.Cookies("HX_USER")("uid")
只是提取cookies中的id

使得我们在cookies欺骗之后还能修改用户的资料.......