Cross-Site Scripting в CorePlayer
23:41 28.10.2012Сьогодні я виявив Cross-Site Scripting уразливість в CorePlayer. Це флеш відео плеєр, що використовується на vybory2012.gov.ua та webvybory2012.ru - сайтах онлайн трансляції виборів в Україні та Росії. Розробники цих сайтів використали один і той же самий дірявий флеш відео плеєр.
XSS:
http://site/core_player.swf?callback=alert(document.cookie)
Уразливі CorePlayer 4.0.6 та попередні версії. На сайті webvybory2012.ru використовується версія 1.3.2, а на сайті vybory2012.gov.ua - 4.0.6.
