Администрация eBay не намерена устранять серьезную уязвимость в платформе

image

Уязвимость позволяет обойти механизм проверки кода и выполнить вредоносный JavaScript-код.

Исследователи из Check Point обнаружили серьезную уязвимость в online-платформе eBay. Ошибка позволяет обойти фильтры eBay, отвечающие за проверку кода. Злоумышленник может открыть на eBay якобы легитимную страницу и добавить в поле описания товара вредоносный JavaScript-код.

В декабре прошлого года сотрудник Check Point Роман Заикин уведомил представителей eBay о проблеме, однако администрация платформы не намерена устранять уязвимость.

Для обхода фильтров используется техника «JSF**k», созданная разработчиком Мартином Клеппе (Martin Kleppe). Метод использует код, состоящий из всего из шести символов: [ ] ( ) ! +. Данная техника позволяет беспрепятственно внедрить вредоносный код в поле описания продукта на eBay. Системы защиты платформы запрещают использование плавающих фреймов iFrame или HTML-тегов на странице. Однако с помощью «JSF**k» злоумышленник может создать код, загружающий дополнительный JS-сценарий с подконтрольного атакующему сервера.

Посетив подложную страницу, пользователь может стать жертвой хищения данных или фишинговой кампании. К примеру, на инфицированной eBay-странице посетителям предлагают скачать мобильное приложение по специальной одноразовой скидке. При подтверждении скачивания на устройство жертвы загрузится вредоносное ПО.

Помимо описания проблемы, исследователи опубликовали два PoC-видео.


или введите имя

CAPTCHA