Уязвимость в "Живом Журнале"

image

Теги: уязвимост

В программном механизме блог-сервиса LiveJournal.com обнаружилась уязвимость, которую могут использовать в зловредных и корыстных целях спамеры и просто интернет-шутники.

В программном механизме блог-сервиса LiveJournal.com обнаружилась уязвимость, которую могут использовать в зловредных и корыстных целях спамеры и просто интернет-шутники.

Информация об уязвимости появилась на украинском ресурсе Watcher вместе со ссылкой на наглядный пример – запись пользователя werdender, при открытии которой выскакивает всплывающее окно.

«Настоящим уведомляю, что в ЖЖ есть дырка, позволяющая сильно осложнить вам жизнь. Это окошко и является тому доказательством. Опасность в том, что не я, бусечка, а какой-нибудь злодей или член партии воров и жуликов могут сделать так, что вы вообще не сможете убрать это окошко, соответственно, вы не сможете и читать ленточку. Первый пост об этом висит несколько дней, но портал до сих пор не закрыт. Засим прошу всех массово сообщить в СУП о том, что я самая что ни на есть настоящая бусечка, мне одному они не верят» - говорится в записи.

Разработчик компании DataArt Александр Чистяков протестировал публикацию сторонних кодов через embed media. По его словам, с помощью этого инструмента обычно постят видео и другой медиа-контент – чтобы запись шла неразрывно, но таким же способом можно «обернуть» и html с других ресурсов – что и сделал пользователь werdender.

Чистяков предполагает, что уязвимость появилась тогда, когда в ЖЖ открыли возможность встраивать в записи видео и аудиоконтент – то есть, несколько лет назад. Существует также версия, что уязвимость как-то связана с работой надоедливого скрипта LJTimes, который тоже выскакивает в виде отдельного окна. Некоторые считают, что именно ради LJTimes руководство ЖЖ и разрешило такие скрипты. Но Чистяков полагает, что к этой медиа-надстройке дыра отношения не имеет.

«Хочу отметить, что ничего страшного и опасного в этой уязвимости я не вижу. Воровать пароли и другую конфиденциальную информацию с помощью неё нельзя, - подчеркнул Чистяков. – Зато можно развлекаться, вставляя в посты всплывающие окна с, например, неприличными изображениями».


или введите имя

CAPTCHA
asd
18-02-2011 11:08:58
http://werdender.livejournal.com/
0 |
21-02-2011 10:46:44
Ну конечно в детской порнографии и экстремистских призывах нет ничего страшного. Не беспокойте Чистякова, он и так занят. Про бусечку два почитал
0 |
Helgin
21-02-2011 16:23:08
Помнится цветные буквы в твиттере тоже были чисто приколом. а потом кааааак.
0 |