Microsoft sam siebie XSS-uje w domenie docs.microsoft.com

Ciekawe znalezisko, którym @Ma7h1as podzielił się na Twitterze.

Zerknijmy sobie na pewien stary biuletyn bezpieczeństwa Microsoftu (MS15-022) w anglojęzycznej wersji strony:

• https://docs.microsoft.com/en-us/security-updates/securitybulletins/2015/ms15-022

Wśród naprawionych błędów znajduje się seria XSS-ów w SharePoincie. Jako możliwość zabezpieczenia przed podatnością, MS sugeruje, by uważać na konta zawierające kod HTML (rys 1).

Rys 1. Zalecenie dotyczące XSS-ów

Co ciekawe, gdy wejdziemy na niemiecką wersję strony…

• https://docs.microsoft.com/de-de/security-updates/securitybulletins/2015/ms15-022

Rys 2. XSS w niemieckiej wersji dokumentacji

… nagle otrzymujemy XSS-a! Patrząc w źródła strony, można wyciągnąć wniosek, że Microsoft treść biuletynów sporządza w MarkDownie, która – z jakiegoś powodu – w niektórych wersjach językowych nie przetwarza się poprawnie, prowadząc do XSS-a.

Rys 3. Fragment kodu strony z XSS-em

Wniosek? Jeśli dana strona dostępna jest w kilku wersjach językowych warto sprawdzić, czy w każdej zachowuje się tak samo!

— mb (@SecurityMB)