Фишинг с помощью тега title

[g0rd1as]

А вы им заранее написали об этом? Принято вроде сначала сообщать производителю, а уж если они дыру не латают — тогда сообщать всей честнОй общественности. :)

[Theodor]

Это же не баг, а триумф эффективного дизайна над безопасностью.

[Tokijirichirink]

В прошлом году на UISG был отличный доклад на эту тему:
13.uisgcon.org/pdf/uisgcon13-alex-starov+modern-scam-campaigns.pdf
Смотреть с 33-го слайда.
Общий вывод: 98% баузеров уязвимы хотя бы к одному из вариантов подобного фишинга

[KosBeg]

Не знаю чем это грозит конкретно этому сайту, но чуть напрягает — https://cheeting.now.sh/?url=javascript:alert('XSS')

[agulitsky]

Целью была быстрая демонстрация проблемы, поэтому скрипт набросан за 15 минут в свободное время. Так что такое вполне может быть.

[agulitsky]

Ну и, если есть желание исправить, добро пожаловать на GitHub.

[unibasil]

У меня в мобильном Chrome в адресной строке отображается адрес. Она для этого и предназначена, мне кажется. ;)

[UselessFire]

Речь про CM Browser от Cheetah Mobile

[unibasil]

О, пардон, не обратил внимания. Ну, для команды разработчиков, которые позиционируют свой браузер как «Самый безопасный браузер и загрузчик видео с Ad Blocker и лучшим антивирусом», это действительно epic fail.

[RadicalDreamer]

Оказалось, что подобным грешит также браузер от LineageOS (Jelly).
Сделал фикс для отображения полного URL в адресной строке.