Meetup – można było przejmować konta organizatorów. Powód? Dość niewinna podatność w API…

03 sierpnia 2020, 16:47 | W biegu | 1 komentarz
Tagi: ,
: oglądaj sekurakowe live-streamy o bezpieczeństwie IT.

W skrócie – można było w „zwykłym” komentarzu dodać JavaScript, który następnie odpalał się w zalogowanej sesji ofiary (tzw. persistent XSS). No dobra, komentarz najprawdopodobniej nie był taki „zwykły”, ale dodany z wykorzystaniem API:

Oczywiście sam JavaScript musi być odpowiednio uzbrojony, więcej na filmiku:

A jeszcze więcej odnośnie tego typu historii – w naszej książce o bezpieczeństwie aplikacji WWW. Już zupełnie na sam koniec warto dodać że pełne załatanie tej luki zajęło Meetup-owi przeszło pół roku…

–Michał Sajdak

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. zakius

    moglibyście poza embedami dorzucać po prostu linki? wtedy nie trzeba się bawić w odblokowywanie ani wyciąganie adresu ze źródła

    Odpowiedz

Odpowiedz