В клиенте PHP API от Google обнаружена XSS-уязвимость

В клиенте PHP API от Google обнаружена XSS-уязвимость

В клиенте PHP API от Google обнаружена XSS-уязвимость

Пользователям клиента PHP API от Google стоит опасаться фишинговых атак. Google пытается исправить уязвимость межсайтового скриптинга (XSS).

Эта уязвимость была обнаружена Леоном Юраником (Leon Juranic) из DefenseCode, который использовал сканер ThunderScan. Компания признала наличие бреши и пообещала исправить ее как можно скорее.

Злоумышленник может проэксплуатировать обнаруженную уязвимость, заставив администратора пройти по специальной ссылке, при этом вредоносный код JavaScript будет выполнен с неограниченным доступом к сайту.

Несмотря на то, что затрагиваемая библиотека описывается Google как «бета», существует множество инструкций и форум по использованию API и OAuth2 для переноса данных Google в другие проекты. API-интерфейсы включают интерфейсы для Google+, Drive и YouTube.

Описываемая уязвимость содержится в функции $_SERVER['PHP_SELF'].

«Когда ничего не подозревающий пользователь посещает такой вредоносный URL-адрес, злоумышленник может отправить запросы на API от имени жертвы, используя JavaScript-код» - отмечает эксперт.

Подпишитесь на новости

Android помогает рекламе узнавать вас. Один инструмент можно отключить

Вашему телефону не нужно сообщать рекламным приложениям имя владельца. Для узнавания устройства существует рекламный идентификатор — случайная строка, которую приложения могут использовать для рекламы и аналитики. Эдакий цифровой бейджик: фамилии нет, зато вас узнают.

В документации Google объясняется, что пользователь может сбросить или удалить этот идентификатор.

Во втором случае приложения, обращающиеся к соответствующему интерфейсу, получат строку из нулей.

Чтобы воспользоваться ей, откройте настройки Android, найдите раздел «Реклама» и выберите «Удалить рекламный идентификатор». В зависимости от производителя путь может отличаться; в инструкции Google указан маршрут через раздел «Конфиденциальность».

Сброс и удаление — разные действия. Сброс выдаёт новый идентификатор, удаление убирает доступ к нему.

Правда, реклама продолжит появляться, а удаление рекламного ID не отменяет остальные способы сбора данных. Google отдельно предупреждает: у приложений могут быть собственные настройки и другие идентификаторы.

Убрать один инструмент отслеживания можно. Устроить рекламной индустрии полную амнезию одним нажатием — пока нет.

RSS: Новости на портале Anti-Malware.ru