Фишинг с помощью тега title

[@g0rd1as]

А вы им заранее написали об этом? Принято вроде сначала сообщать производителю, а уж если они дыру не латают — тогда сообщать всей честнОй общественности. :)

[@Theodor]

Это же не баг, а триумф эффективного дизайна над безопасностью.

[@Tokijirichirink]

В прошлом году на UISG был отличный доклад на эту тему:
13.uisgcon.org/pdf/uisgcon13-alex-starov+modern-scam-campaigns.pdf
Смотреть с 33-го слайда.
Общий вывод: 98% баузеров уязвимы хотя бы к одному из вариантов подобного фишинга

[@KosBeg]

Не знаю чем это грозит конкретно этому сайту, но чуть напрягает — https://cheeting.now.sh/?url=javascript:alert('XSS')

[@agulitsky]

Целью была быстрая демонстрация проблемы, поэтому скрипт набросан за 15 минут в свободное время. Так что такое вполне может быть.

[@agulitsky]

Ну и, если есть желание исправить, добро пожаловать на GitHub.

[@unibasil]

У меня в мобильном Chrome в адресной строке отображается адрес. Она для этого и предназначена, мне кажется. ;)

[@UselessFire]

Речь про CM Browser от Cheetah Mobile

[@unibasil]

О, пардон, не обратил внимания. Ну, для команды разработчиков, которые позиционируют свой браузер как «Самый безопасный браузер и загрузчик видео с Ad Blocker и лучшим антивирусом», это действительно epic fail.

[@RadicalDreamer]

Оказалось, что подобным грешит также браузер от LineageOS (Jelly).
Сделал фикс для отображения полного URL в адресной строке.