В клиенте PHP API от Google обнаружена XSS-уязвимость

В клиенте PHP API от Google обнаружена XSS-уязвимость

В клиенте PHP API от Google обнаружена XSS-уязвимость

Пользователям клиента PHP API от Google стоит опасаться фишинговых атак. Google пытается исправить уязвимость межсайтового скриптинга (XSS).

Эта уязвимость была обнаружена Леоном Юраником (Leon Juranic) из DefenseCode, который использовал сканер ThunderScan. Компания признала наличие бреши и пообещала исправить ее как можно скорее.

Злоумышленник может проэксплуатировать обнаруженную уязвимость, заставив администратора пройти по специальной ссылке, при этом вредоносный код JavaScript будет выполнен с неограниченным доступом к сайту.

Несмотря на то, что затрагиваемая библиотека описывается Google как «бета», существует множество инструкций и форум по использованию API и OAuth2 для переноса данных Google в другие проекты. API-интерфейсы включают интерфейсы для Google+, Drive и YouTube.

Описываемая уязвимость содержится в функции $_SERVER['PHP_SELF'].

«Когда ничего не подозревающий пользователь посещает такой вредоносный URL-адрес, злоумышленник может отправить запросы на API от имени жертвы, используя JavaScript-код» - отмечает эксперт.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Тверской суд Москвы арестовал фигуранта по делу Userbox

Тверской суд Москвы удовлетворил ходатайство следствия о заключении под стражу фигуранта дела о незаконном распространении персональных данных с помощью бота Userbox Игоря Морозкина. 5 ноября Морозкин подал апелляцию, которая в настоящее время находится на рассмотрении.

Информация об этом появилась на сайте Мосгорсуда. Судебное заседание при этом состоялось ещё 1 ноября.

Морозкин был задержан 31 октября в Санкт-Петербурге. Пресс-центр МВД сообщил об операции против Userbox (также известного как User_Search) спустя несколько дней.

Во время обысков сотрудники правоохранительных органов изъяли значительное количество оборудования, включая серверы, а также свыше 40 терабайт данных. Работа сервиса была полностью прекращена.

Userbox за небольшую плату предоставлял широкий спектр сведений о гражданах России — от данных о месте работы до информации о банковских счетах и зарегистрированном имуществе. Эти сведения аккумулировались из различных утечек данных.

По оценкам следствия, оборот сервиса достигал 16 млн рублей в месяц. В поле зрения правоохранителей платформа попала после того, как выяснилось, что её активно использовали представители криминальных структур.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru