Уразливості на img.com.ua
23:56 09.04.2013У березні, 28.03.2013, я знайшов Cross-Site Scripting уразливості в банерній мережі http://img.com.ua (на піддоменах). Про що найближчим часом сповіщу адміністрацію проекту.
В 2008-2010 роках я писав про численні банерні системи (українські й закордонні), що мають подібні уразливості. Проблема така ж сама як і випадку уразливостей в системах в phpAdsNew, OpenAds та OpenX.
У флеш банерах на піддоменах bbn.img.com.ua і bbnu.img.com.ua (і потенційно інших піддоменах), є XSS уразливість. Якщо вони зроблені згідно з рекомендаціями банерної системи, то можлива XSS атака (strictly social XSS) через параметр bn_url (при кліку на банер). Про подібну атаку я вже писав в статті XSS уразливості в 8 мільйонах флеш файлах.
XSS:
На всіх піддоменах даного сайта є десятки тисяч флеш банерів. Не всі з них уразливі, є піддомени де жодна флешка не має таких уразливостей, але на зазначених піддоменах всі флешки уразливі.
