В Evernote для Windows устранена XSS-уязвимость

В Evernote для Windows устранена XSS-уязвимость

В Evernote для Windows устранена XSS-уязвимость

Разработчики Evernote устранили уязвимость в версии приложения для операционных систем Microsoft Windows. Проблема безопасности, получившая идентификатор CVE-2018-18524, позволяла атакующему провести атаку XSS.

Брешь затрагивала Evernote 6.14, разработчикам удалось избавиться от нее с выходом 6.16.1 beta. О проблеме сообщил эксперт команды Knownsec 404 ТонгКвинг Зу. В своем блоге эксперт объясняет, что баг позволял прочитать локальные файлы — включая win.ini и calc.exe.

Оказалось, что проблемная версия приложения позволяла использовать знаки и фразы вроде "onclick = "alert(1) " в процессе переименования и открытия файлов изображений. Именно это отсутствие должной проверки позволило специалисту провести успешную XSS-атаку.

ТонгКвинг Зу пошел дальше и смог загрузить код Nodejs, таким образом вредоносные файлы можно расшаривать между аккаунтами с помощью рабочих чатов.

Эксперт Knownsec 404 обнаружил проблему 27 сентября, в этот же день он сообщил об этом представителям Evernote. В октябре разработчики устранили уязвимость.

Подпишитесь на новости

VK пошла в суд ЕС: компания требует отменить санкции

VK решила оспорить европейские санкции в суде. Компания требует отменить ограничения и считает решение Совета ЕС необоснованным и незаконным. Теперь спор о доступности российских сервисов продолжится с участием юристов.

Как сообщает РБК, иск поступил в суд ЕС 7 октября и получил номер T-664/26. Евросоюз ввел санкции против VK и ООО «Коммуникационная платформа», разработчика мессенджера МАКС, в июле.

Но проблемы с распространением приложений начались раньше: в июне МАКС исчез из App Store, затем из магазина пропали и другие приложения экосистемы.

Apple объясняла удаления соблюдением санкционных правил и законов юрисдикций, в которых работает. VK тогда называла действия компании немотивированными и неприемлемыми, указывая, что на тот момент сама еще не фигурировала в санкционных списках.

В июле приложения VK также исчезли из Google Play. Для Android остались альтернативные магазины: RuStore, Huawei AppGallery, Samsung Galaxy Store и Xiaomi GetApps. Установленные Android-приложения продолжают работать и получать уведомления.

На iPhone ситуация неприятнее: ранее установленный Max работает, но после удаления из магазина перестал получать пуш-уведомления.

Подача иска сама по себе приложения в магазины не возвращает. Пока VK добивается отмены ограничений, пользователям приходится разбираться с их последствиями.

RSS: Новости на портале Anti-Malware.ru