Нашел, как по мне уязвимость в Kohana Captcha.
Как эта каптча работает:
1) Сформировали ссылку

Captcha::instance()->render(); 

2) По ссылке браузер забрал изображение, а на сервере в сессию занеслась строка изображенная на картинке каптчи(например "7777");
3) Мы отправили пост запрос с введенной каптчей и проверили ее на сервере

Captcha::valid($_POST['captcha']);

Логично предположить, что после проверки нужно уничтожить информацию о каптче в сессии. Но здесь видим иную картину "7777" так и висит в сессии, а сессия обновляется в момент генерации изображения.
Чем это грозит:
1) Один раз увидев каптчу, можем использовать cURL чтобы бомбить сайт;
2) Более банальный вариант(и более бесполезный так как выполнять придется все действия), как известно браузер за нас делает многие вещи, в том числе и подгружает картинки, если ссылки на них есть в верстке страницы. Можно это использовать - попадаем на страницу формы с каптчей выписываем каптчу, отключаем картинки и используя одно значение каптчи отправляем формы с положительным результатом.
В первом и втором вариантах Captcha::valid($_POST['captcha']) будет возвращать все время TRUE.

_____________
Mysql, Postgresql, Redis, Memcached, Unit Testing, CI, Kohana, Yii, Phalcon, Zend Framework, Joomla, Open Cart, Ymaps, VK Api

T1grOK
да, есть такое
Поэтому после каждого запроса надо сбрасывать каптчу.
Я добавил в модуль такой метод для этого:

    /**
     * 
     * 
     * @access  public
     * @return  Captcha
     */
    public function invalidate()
    {
        Session::instance()->set('captcha_response', null);
        return $this;
    }

Вообще говоря, модуль не включен в официальное ядро, так что, как говорится, пользуйтесь на свой страх и риск! :)

_____________

Профессиональная разработка на заказ

Я на GitHub | второй профиль

Просто интересуюсь, так как с kohana не работал и не знаком.
Там после отправки формы (по капче) не происходит редайректа, чтобы сменить и капчу и сессию ?

иль тут не в этом дело вообще ?

_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )

andrey888
редиректы относятся к уровню приложения, а не фреймворка или модуля, и к тому же никак не влияют на сессию

_____________

Профессиональная разработка на заказ

Я на GitHub | второй профиль

То есть после отправки формы И перед загрузкой новой страницы (для пользователя) с новым сгенерированным изображением нам нужно делать unset на прошлую сессию с капчей , а в kohana это подзабыли , так ? ...

_____________
Прогноз на следующие 5 лет : Россия, Китай - две величайшие державы.
США в Ж*пе. Справедливость восторжествует. )

Уязвимость/недоработка в том, что модуль не может выполнять свои прямые обязанности...Вместо этого дает волю разгуляться злостным спамерам.))

_____________
Mysql, Postgresql, Redis, Memcached, Unit Testing, CI, Kohana, Yii, Phalcon, Zend Framework, Joomla, Open Cart, Ymaps, VK Api

T1grOK
недоработка да, но не уязвимость же

_____________

Профессиональная разработка на заказ

Я на GitHub | второй профиль