Новости

Paypal 2 года не мог закрыть XSS уязвимость на Web сайте

23 июля, 2006

Теги: Netcraft, XSS, paypal

Крис Марлоу пытался предупредить PayPal об обнаруженной уязвимости еще в июне 2004 года,   но представитель PayPal, с которым он общался, не понимал что такое XSS уязвимость.

В прошлом месяце компания Netcraft сообщила о наличии XSS уязвимости в сайте PayPal, которая активно использовалась против пользователей платежной системы. Однако, как оказалось, уязвимость в странице пожертвования для временно отстраненных пользователей, была обнаружена еще 2 года назад. 

Крис Марлоу пытался предупредить PayPal об обнаруженной уязвимости еще в июне 2004 года,   но представитель PayPal, с которым он общался, не понимал что такое XSS уязвимость. Так как политика компании запрещает раскрывать адреса электронной почты сотрудников, Крис не смог продемонстрировать возможность эксплуатации уязвимости. В результате Крис раскрыл подробности уязвимости на своем Web сайте, однако PayPal никак  не отреагировал на эту публикацию.

Уязвимость была исправлена лишь в прошлом месяце после того, как компания Netcraft сообщила о попытках обмана пользователей PayPal с помощью этой уязвимости. Однако, как стало известно securitylab.ru, до сих пор существует несколько незакрытых уязвимостей межсайтового скриптинга в сайте PayPal, например: 
www.paypal.com/cgi-bin/webscr?cmd=p/gen/--></script><script>alert('www.securitylab.ru')</script>

(Голосов: 1, Рейтинг: 3.3)



Комментарии:
RSS
Добавить комментарий

                                                                                                                                                                                                                                               

Блоги
03.02.2012
Verisign взломали
Вот такие вот новости. Пока без деталей.


03.02.2012
Вышел новый номер журнала (IN)SECURE
33-ий выпуск одного из самых качественных журналов в нашей отрасли уже доступен для скачивания тут.В ...


02.02.2012
Обновление TDL4: Purple Haze all in my brain
Purple haze all in my brainLately things just don't seem the sameActin' funny, but I don' ...


02.02.2012
Посредники
Информационные технологии вообще и Интернет в частности должны приводить ко спрямлению социально-эко ...


02.02.2012
Продвижение СЗИ
   Компании, желающие продвигатьсвои средства защиты информации (СЗИ), имеют возможность р ...


01.02.2012
Тестирование на уязвимости веб-приложений
На мой взгляд тестирование веб-приложений - одна из наиболее перспективных тем в области проведения ...


01.02.2012
Открытое запретное
Выражение «взято из открытых источников» или «из общедоступных источников» п ...


01.02.2012
И вновь об УЭК
Про универсальную электронную карту я уже писалне раз. И вот пару недель назад на сайте Минкомсвязи ...


01.02.2012
Новая версия курса по персданным
Вообще несмотря на отсутствие серьезных новостей в части законодательства по персданным, курс все ра ...


01.02.2012
Что ищут в Yandex хакеры?
Нет, это не статистика поисковых запросов настоящих элитный хакеров.Это Юра Гольцеврассказывает об у ...