Google пропатчил XSS в Google Maps со второго раза

Google пропатчил XSS в Google Maps со второго раза

Google пропатчил XSS в Google Maps со второго раза

Разработчики Google устранили XSS-уязвимость в Google Maps. Об этой проблеме безопасности интернет-гиганту сообщил исследователь через программу поиска уязвимостей, за что получил причитающееся вознаграждение.

Уязвимость в Google Maps описал в своём блоге эксперт Зохар Шачар. Как объяснил специалист, это брешь межсайтового скриптинга, существующая из-за некорректной обработки функций экспорта.

Как известно, сервис от Google позволяет экспортировать карту в различных форматах, один из которых — KML. В нём используется основанная на тегах структура, а его «родителем» является XML.

По словам Шачара, в этом формате карта сохраняется с открытым тегом CDATA. Если добавить туда специальные символы «]]>», можно подсунуть произвольный XML-контент, приводящий к XSS.

Исследователь сразу же сообщил об ошибке представителям Google.

 

Однако разработчикам корпорации не сразу удалось устранить уязвимость. После того, как Google отписался, что уязвимости больше нет, Шачар решил убедиться в этом сам. К своему изумлению, эксперт обнаружил крайне простой способ обхода патча.

За каждый баг исследователь заработал $5 тыс. (в общей сложности — $10 тысяч).

В России оштрафовали разработчика ИИ за запрещённый контент в чате с ботом

Таганский районный суд Москвы оштрафовал американскую компанию Character Technologies, разработчика ИИ-сервиса Character.AI, на 1,25 млн рублей. Причиной стал отказ удалить информацию, связанную с распространением наркотических средств.

Компанию признали виновной по части 3 статьи 6.13 КоАП РФ. Согласно материалам дела, запрещённая информация о синтетическом наркотике появилась в одном из чатов Character.AI.

История может стать важным прецедентом: к административной ответственности за контент привлекли владельца не сайта или телеграм-канала, а сервиса с генеративным ИИ.

Character.AI позволяет общаться с интерактивными ИИ-персонажами: вымышленными героями, историческими личностями, знаменитостями и образами, созданными пользователями.

Боты способны поддерживать диалог, имитировать эмоциональные реакции и участвовать в ролевых сценариях. Но чем убедительнее цифровой собеседник, тем сложнее разработчику делать вид, что за его репликами никто не обязан присматривать.

Это уже не первое разбирательство Character Technologies с российским правосудием. В апреле 2026 года тот же суд признал компанию виновной в пропаганде среди несовершеннолетних нетрадиционных сексуальных отношений и предпочтений, а также смены пола.

К безопасности Character.AI возникали вопросы и за пределами России. В 2024 году в США широкую огласку получила гибель подростка, который эмоционально привязался к боту, созданному по образу Дейенерис из «Игры престолов».

RSS: Новости на портале Anti-Malware.ru