sitename
Как заработать денег, не выходя из дома, мы вам поможем с этим разобраться » Новости » Обнаружение XSS-уязвимости на сайте iCloud принесло эксперту 5000 долларов - «Новости»

Индийский багхантер и пентестер Вишал Бхарад (Vishal Bharad) рассказал в блоге о том, как обнаружил хранимую XSS на сайте iCloud.com.


Изначально исследователь искал на сайте уязвимости, связанные с CSRF (Cross-Site Request Forgery), IDOR (Insecure Direct Object Reference), логические ошибки и так далее, но в итоге случайно обнаружил XSS.


Уязвимость присутствовала в Apple Pages и Keynote, размещенных в iCloud. Эксплуатация бага подразумевала создание нового документа или презентации и внедрение полезной XSS-нагрузки в поле имени.


По сути, для эксплуатации проблемы злоумышленнику нужно было поделиться ссылкой на такой вредоносный документ или презентацию со своей жертвой, а затем убедить ее войти в настройки и воспользоваться функцией Browse All Versions. Как только жертва нажимала на Browse All Versions, вредоносная нагрузка злоумышленника запускалась в ее браузере. Ниже пример такой атаки можно увидеть воочию.




Бхарад рассказывает, что обнаружил проблему еще в августе 2020 года, о чем сразу сообщил в Apple. Уязвимость исправили лишь осенью, и в октябре 2020 года эксперт узнал, что за обнаружение этого бага ему выплатили 5000 долларов США.

CSS
запостил(а)
Kendal
Вернуться назад

Смотрите также

А что там на главной? )))



Комментарии )))



Комментарии для сайта Cackle
Войти через: