Коментарі для запису: XSS уразливість в Яндексі http://websecurity.com.ua/1698/ Tue, 07 Apr 2026 10:35:04 +0000 http://wordpress.org/?v=MustLive Edition від: a.komlev http://websecurity.com.ua/1698/#comment-122479 Thu, 24 Apr 2008 00:27:46 +0000 http://websecurity.com.ua/1698/#comment-122479 Да, похожие проблемы. На самом деле там не дыры в проектах конктретных, а дыра в подходе. Проблема в том, что они упорно используют encodeURIСomponent в js-обработчиках а он не эскейпить одиночные кавычки, что всегда и везде при такой схеме будет приводить к XSS в DOM в независимоти от конкретных параметров. Да, похожие проблемы.
На самом деле там не дыры в проектах конктретных, а дыра в подходе. Проблема в том, что они упорно используют encodeURIСomponent в js-обработчиках а он не эскейпить одиночные кавычки, что всегда и везде при такой схеме будет приводить к XSS в DOM в независимоти от конкретных параметров.

]]> від: a.komlev http://websecurity.com.ua/1698/#comment-122470 Wed, 23 Apr 2008 23:42:14 +0000 http://websecurity.com.ua/1698/#comment-122470 >Ты не стесьняйся постить дыры не только на Яндексе, но и на других >поисковиках и порталах, например на Рамблере. Я пишу о них только немного по-другому адресу. :) >Ранее о дыре на Яндексе ты уже постил. Сейчас вот запостил новые >дыры на сервисах данной компании. Весьма походит на >корпоративные войны. Не.. Ничего подобного, блог личный и вся информация есть не больше чем моё личное мнение и не может быть интерпретирована как позиция или мнение какой-либо компании которую я представляю. ;) >Ты не стесьняйся постить дыры не только на Яндексе, но и на других >поисковиках и порталах, например на Рамблере.

Я пишу о них только немного по-другому адресу. :)

>Ранее о дыре на Яндексе ты уже постил. Сейчас вот запостил новые >дыры на сервисах данной компании. Весьма походит на >корпоративные войны.

Не.. Ничего подобного, блог личный и вся информация есть не больше чем моё личное мнение и не может быть интерпретирована как позиция или мнение какой-либо компании которую я представляю. ;)

]]> від: MustLive http://websecurity.com.ua/1698/#comment-122454 Wed, 23 Apr 2008 21:55:43 +0000 http://websecurity.com.ua/1698/#comment-122454 Что интересно, Александр, как я два дня назад посмотрел эти дыры, Яндекс их уже исправил. Что относительно быстро. Как это и было в случае прошлой дыры на Яндексе - тогда тоже я рабочей дыры не застал. Но зато нашёл новую дыру :-), о которой я ещё напишу. В данном случае Яндекс не исправил только дыру на market.yandex.ru, которую ты привёл позднее - при нажатии на "Вход". Яндекс вероятно решил, что раз не автоматически срабатывает XSS, а при клике, то можно не спешить исправлять. Что совершенно зря и нужно полностью исправлять XSS уязвимости. Причём замечу, что о дырах при клике (а также одной дыре reflected XSS), что я нашёл ещё 17.06.2007 на <a href="/1745/" rel="nofollow">yandex.ru, images.yandex.ru и market.yandex.ru</a>, я писал у себя на сайте и писал Яндексу. Во всех случаях дыры были в параметре rpt. На yandex.ru и images.yandex.ru дыри были при клике на "расширенный поиск" (которые уже исправлены), а на market.yandex.ru reflected XSS уже исправили, а XSS при клике на "Вход" так и не исправили. Т.е. ты нашёл в данном случае дыру, которую я нашёл ещё в июне прошлого года, и о которой в январе Яндексу сообщил, но они её проигнорировали. У тебя лишь другая форма записи (через параметр text), но дыра тажа - XSS в DOM при клике "Вход". Причём моя запись XSS по прежнему работает, поэтому неизвестно, что именно исправляли яндексеры в случае твоей формы записи, но дыра как работала в прошлом году, так и работает. Что работает через rpt, что через text (причём "cvredirect=1" там ненужен), что через любой произвольный параметр (все параметры запроса подставляются в обработчик нажатия кнопки "Вход"). Что интересно, Александр, как я два дня назад посмотрел эти дыры, Яндекс их уже исправил. Что относительно быстро. Как это и было в случае прошлой дыры на Яндексе - тогда тоже я рабочей дыры не застал. Но зато нашёл новую дыру :-) , о которой я ещё напишу.

В данном случае Яндекс не исправил только дыру на market.yandex.ru, которую ты привёл позднее - при нажатии на “Вход”. Яндекс вероятно решил, что раз не автоматически срабатывает XSS, а при клике, то можно не спешить исправлять. Что совершенно зря и нужно полностью исправлять XSS уязвимости.

Причём замечу, что о дырах при клике (а также одной дыре reflected XSS), что я нашёл ещё 17.06.2007 на yandex.ru, images.yandex.ru и market.yandex.ru, я писал у себя на сайте и писал Яндексу. Во всех случаях дыры были в параметре rpt. На yandex.ru и images.yandex.ru дыри были при клике на “расширенный поиск” (которые уже исправлены), а на market.yandex.ru reflected XSS уже исправили, а XSS при клике на “Вход” так и не исправили. Т.е. ты нашёл в данном случае дыру, которую я нашёл ещё в июне прошлого года, и о которой в январе Яндексу сообщил, но они её проигнорировали. У тебя лишь другая форма записи (через параметр text), но дыра тажа - XSS в DOM при клике “Вход”.

Причём моя запись XSS по прежнему работает, поэтому неизвестно, что именно исправляли яндексеры в случае твоей формы записи, но дыра как работала в прошлом году, так и работает. Что работает через rpt, что через text (причём “cvredirect=1″ там ненужен), что через любой произвольный параметр (все параметры запроса подставляются в обработчик нажатия кнопки “Вход”).

]]> від: MustLive http://websecurity.com.ua/1698/#comment-122451 Wed, 23 Apr 2008 20:58:07 +0000 http://websecurity.com.ua/1698/#comment-122451 Александр, спасибо за информацию. Дырки в Яндексе - это весьма интересно :-), регулярно нахожу таковые (и не только на Яндексе, среди поисковиков) и публикую у себя на сайте, и с радостью взгляну на новые дыры. Ты не стесьняйся постить дыры не только на Яндексе, но и на других поисковиках и порталах, например на Рамблере :-D. Так у тебя будет более широкий ассортимент уязвимых сайтов и более разнообразные новости на сайте. Ранее о дыре на Яндексе ты уже постил. Сейчас вот запостил новые дыры на сервисах данной компании. Весьма походит на корпоративные войны ;-). Александр, спасибо за информацию. Дырки в Яндексе - это весьма интересно :-) , регулярно нахожу таковые (и не только на Яндексе, среди поисковиков) и публикую у себя на сайте, и с радостью взгляну на новые дыры. Ты не стесьняйся постить дыры не только на Яндексе, но и на других поисковиках и порталах, например на Рамблере :-D . Так у тебя будет более широкий ассортимент уязвимых сайтов и более разнообразные новости на сайте.

Ранее о дыре на Яндексе ты уже постил. Сейчас вот запостил новые дыры на сервисах данной компании. Весьма походит на корпоративные войны ;-) .

]]> від: a.komlev http://websecurity.com.ua/1698/#comment-121995 Sun, 20 Apr 2008 23:13:34 +0000 http://websecurity.com.ua/1698/#comment-121995 http://fuzzing.ru/blog/2008/04/12/uyazvimosti-servisov-yandeksa/ http://fuzzing.ru/blog/2008/04/12/uyazvimosti-servisov-yandeksa/

]]>