Межсайтовый скриптинг в E-gold
| Дата публикации: | 17.12.2002 |
| Дата изменения: | 17.10.2006 |
| Всего просмотров: | 1056 |
| Опасность: | |
| Наличие исправления: | |
| Количество уязвимостей: | 1 |
| CVE ID: | Нет данных |
| Вектор эксплуатации: | |
| Воздействие: | |
| CWE ID: | Нет данных |
| Наличие эксплоита: | Нет данных |
| Уязвимые продукты: | |
| Описание: | E-gold (www.e-gold.com) популярный способ электронной коммерции. В отличие от системы кредитных карточек, в e-gold не существует политики возмещения. Посланные e-gold деньги никогда не вернутся. В программе обнаружена возможность межсайтового скриптинга, которая может использоваться для кражи идентификационной фразы (passphrase), с помощью которой можно украсть реальные деньги. Некоторые уязвимые сценарии требуют предварительной идентификации. Пример:
https://www.e-gold.com/acct/historycsv.asp?
initial=1xxxx"><SCRIPT>w=window.open("https://www.e-
gold.com/acct/login.html");setTimeout("w.document.write(s)",150);
</SCRIPT>&startmonth=12&startday=4&startyear=1996&endmonth=12&end
day=4&endyear=2003&paymentsreceived=1&oldsort=tstamp&page=1
|
| Ссылки: | Источник |