jQuery Mobile может поставить некоторые веб-сайты под угрозу

jQuery Mobile может поставить некоторые веб-сайты под угрозу

jQuery Mobile может поставить некоторые веб-сайты под угрозу

Исследователь в области безопасности Google обнаружил, что JQuery Mobile может поставить веб-сайты под угрозу атак межсайтового скриптинга (XSS). jQuery Mobile представляет собой основанную на HTML5 систему для создания гибких веб-сайтов и веб-приложений, которые могут быть доступны из любого типа устройства. Согласно BuiltWith, JQuery Mobile в настоящее время используется на более чем 150 000 активных веб-сайтах.

Несколько месяцев назад эксперт из Google, Эдуардо Вела (Eduardo Vela), обнаружил, что JQuery Mobile проверяет location.hash, который возвращает анкор URL. При нахождении URL в location.hash, JQuery Mobile использует метод history.pushState и добавляет его к объекту XMLHttpRequest. Ответ на этот запрос идет с innerHTML.

Использование history.pushState должно предотвратить XSS-атаки, однако эксплуатация все еще возможна, если сайт находится под воздействием уязвимости open redirect. Пример, приведенный исследователем выглядит так:

http:// jquery-mobile-xss.appspot.com/#/redirect?url=http:// sirdarckcat.github.io/xss/img-src.html

В зоне риска могут находиться многие сайты, так как некоторые организации не считают открытые редиректы уязвимостями. В частности, они могут быть найдены на таких сайтах, как Google, YouTube, Facebook, Baidu и Yahoo.

Эксперт сообщил о своих выводах разработчикам JQuery Mobile, но проблема не будет решена в ближайшее время из-за опасений, что изменения могут нарушить работу приложений.

Дания обвинила Россию в кибератаках на КИИ, системы водоснабжения

Датские власти официально обвинили Россию в кибератаках на критически важную инфраструктуру страны. По данным Службы военной разведки Дании (DDIS), атаки стали частью так называемой «гибридной войны», которую Москва якобы ведёт против западных государств. В заявлении разведки говорится, что за инцидентами стоят минимум две группы, действующие в интересах российского государства.

Речь идёт о Z-Pentest — её связывают с разрушительной атакой на системы водоснабжения, — и NoName057(16), которую считают ответственной за DDoS-атаки на датские ресурсы накануне муниципальных выборов в ноябре, в преддверии выборов 2025 года.

В DDIS прямо заявили, что российские власти использует эти группы как инструменты давления. Цель таких атак — посеять чувство небезопасности в странах-оппонентах.

Отдельно отмечается, что выборы стали удобной точкой для привлечения внимания и усиления эффекта от атак — похожий сценарий уже наблюдался в других европейских странах.

Министр обороны Дании Троэльс Лунд Поульсен назвал происходящее наглядным подтверждением того, что «гибридная война — это уже не теория, а реальность». По его словам, такие действия со стороны России «абсолютно неприемлемы». Власти страны также намерены вызвать российского посла для разъяснений по поводу инцидентов.

RSS: Новости на портале Anti-Malware.ru