Pull to refresh

Принцип домино или XSS на крупных сайтах рунета

Information Security *
На странице регистрации нового аккаунта Mail.ru не фильтровались поля 'Имя' и 'Фамилия', в следствии чего туда можно было вставлять скрипты и регистрировать пользователя чьим именем был скрипт (до 80-ти символов). На самом Mail.ru эта уязвимость никак не отражалась, а проявляла себя на тех сайтах, что использовали авторизацию через Mail.ru, и на тех сайтах, что использовали авторизацию сайтов, использовавших авторизацию через Mail.ru :)
Вот так было до исправления уязвимости:
image

Так после:
image

А так во время (для комфортного просмотра ставить 1080p):



Такие дела.
Вроде бы на момент написания этого поста Mail.ru уже поправили этот баг.

Мой предыдущий пост, посвящённый XSS

UPD: Получил письмо от суппорта. Уязвимость закрыли, поблагодарили.
Tags:
Hubs:
Total votes 123: ↑114 and ↓9 +105
Views 4K
Comments Comments 95