Onet.pl – błąd XSS w poczcie
Na kontach pocztowych największego polskiego portalu Onet.pl znajdował się poważny błąd. Na szczęście od razu administracja portalu zajęła się tym i błąd został naprawiony. Był to błąd oznaczony jako XSS, oznacza to, że kod JavaScript można było wykonać po przesłaniu e-maila do ofiary z kodem umieszczonym w polu „from”. Po zalogowaniu się do swojej poczty przez stronę poczta.onet.pl nie było nic widać nietypowego, ale skrypt wykonał się bez wiedzy użytkownika odbierającego wiadomość.
Błąd działał w przeglądarce Firefox 3. Groźny kod tworzony jest zwykle przy użyciu JavaScriptu, ale nie tylko. Równie dobrze sprawdzą się dla hakera technologie wykonywane po stronie klienta: Ajax, VBScript albo Flash.
Jest to więc kolejny powód na to, że nie warto mieć nieograniczone zaufanie do darmowych kont, a o odkryciu błędu powinno się od razu poinformować administratorów.
Chcesz skomentować?