Уязвимость Cross-site scripting на HotBox.Ru
dl // 03.05.03 23:51
Найденный XSS содержится в механизме просмотра писем через веб-интерфейс
почтового портала.
[Не забывайте при копировании материала указывать полный адрес источника: http://www.bugtraq.ru/rsn/archive/2003/05/01.html]
Engine сервера удачно фильтрует теги типа <sсript>,
однако не проверяет тег <A> на внедрение спецсимволов типа " или ' . В
итоге, можно послать на любой почтовый ящик HotBox письмо, содержащее в теле
специальным образом сформированную ссылку через тег <A>, и при открытии
такого письма через веб-интерфейс Хотбокса исполнится javаsсript, внедрённый
через эту ссылку.
Дальнейшее - дело техники и фантазии атакующего. Например, неплохо работает вариант с вставкой внутрь тега
<A> кода типа OnMouseOver='javаsсript:alert(document.cookie);',
для усугубления можно, во-первых, замаскировать ссылку с помощью задания ей такого же цвета, как и
у фона, а также с помощью стилей распространить ее действие на все окно.
Администрация извещена, обещано исправление в ближайшее время.
