एक्सएसएस एक्सप्लॉयट ऐप्पल आईट्यून्स साइट पर ... फिर से मिला

अपडेट करें: ऐप्पल ने शोषण तय कर दिया है, नीचे दिया गया लिंक वंशावली के लिए संरक्षित है लेकिन अब असामान्य कुछ भी प्रदर्शित करने के लिए काम नहीं करता है।

कुछ हफ्ते पहले, Apple.com पर उनके आईट्यून्स साइट के साथ एक सक्रिय एक्सएसएस एक्सप्लॉइट था। खैर, एक टिपस्टर ने हमें ऐप्पल आईट्यून्स साइट (इस मामले में यूके) पर फिर से एक ही क्रॉस साइट स्क्रिप्टिंग शोषण भेजा। नतीजतन, ऐप्पल आईट्यून्स पेज के कुछ मनोरंजक विविधताएं दिखाई दे रही हैं, और फिर कुछ बहुत डरावनी हैं, क्योंकि उपरोक्त स्क्रीनशॉट एक लॉगिन पेज दिखाता है जो उपयोगकर्ता नाम और पासवर्ड जानकारी स्वीकार करता है, इस लॉगिन डेटा को किसी विदेशी सर्वर पर संग्रहीत करता है, फिर भेजता है आप Apple.com पर वापस आ गए। हमें भेजे गए सबसे कष्टप्रद विविधता ने मेरी मशीन पर लगभग 100 कुकीज़ को सामान देने की कोशिश की, उनमें से प्रत्येक में एम्बेडेड फ्लैश फाइलों के साथ जावास्क्रिप्ट पॉप-अप का एक अंतहीन पाश शुरू किया, और कुछ अन्य भयानक संगीत बजाते हुए, लगभग 20 अन्य आईफ्रेम को हटा दिया।

एक्सएसएस सक्षम यूआरएल की तुलनात्मक रूप से हानिरहित विविधता यहां है, यह iframes Google.com है:

http://www.apple.com/uk/itunes/affiliates/download/?artistName=Apple%20%3Cbr/%3E%20%3Ciframe%20src=http%3A//www.google.com/%20width= 600% 20height = 200% 3E% 3 C / iframe% 3E और thumbnailUrl = http% 3A // images.apple.com / घर / images / promo_mac_ads_20091022.jpg और itmsUrl = http% 3A% 2F% 2Fitunes.apple.com% 2FWebObjects% 2FMZStore.woa % 2Fwa% 2FviewAlbum% 3Fid% 3D330407877% 26s% 3D143444% 26ign-mscache% 3D1 और ALBUMNAME = एक% 20wide खुले% 20HTML% 20injection% 20hole

यह आपके खुद के संस्करण करने के लिए ज्यादा प्रयास नहीं करता है। वैसे भी, आइए उम्मीद करते हैं कि ऐप्पल इस त्वरित को ठीक करता है।

संलग्न "टिपस्टर" व्हेलनिंजा द्वारा भेजे गए लिंक के कुछ और स्क्रीनशॉट हैं (रास्ते से महान नाम)