ВКонтакте.ру обнаружена XSS-уязвимость
В пользующейся популярностью социальной сети ВКонтакте.ру, в сервисе Приложения обнаружена XSS-уязвимость.
Она заключается в том, что в исходный код флэшки можно внедрить javascript, который при прямом доступе к флэшке исполнится, как и в IE, так и в Firefox'е. Это, конечно, разработчиками ВКонтакте учтено: прямой доступ к флэшке запрещен. Но флэшка сохраняется в кэше браузера, откуда ее можно загрузить без проблем.
Единственное, что спасает, - это блокировщик всплывающих окон. Но обычные пользователи, видя, что открывает его ВКонтакт, блокировку снимут. Работоспособность во всех браузерах не гарантирована, проверялось на IE6 и FF3RC1.
Пример атаки:
vkontakte.ru/apps.php?act=s&id=15… (новое окно открывается сквозь 2 секунды)
www.securitylab.ru