Баг HTML-инъекции в Counter-Strike 2 раскрывал IP-адреса геймеров

Баг HTML-инъекции в Counter-Strike 2 раскрывал IP-адреса геймеров

Баг HTML-инъекции в Counter-Strike 2 раскрывал IP-адреса геймеров

Valve, один из крупнейших разработчиков видеоигр, устранил уязвимость HTML-инъекции в Counter-Strike 2 (CS2), которую злоумышленники использовали для внедрения изображений и получения IP-адресов игроков.

Изначально разработчики полагали, что это более серьёзная проблема межсайтового скриптинга (XSS), позволяющая выполнить JavaScript-код на стороне жертвы.

Однако позже выяснилось, что речь идёт лишь о проблеме HTML-инъекции, которая допускает внедрение графических изображений. Всё дело в том, что Counter-Strike 2 использует интерфейс Valve Panorama, завязанный на CSS, HTML и JavaScript.

Девелоперы могут сконфигурировать поля для ввода и разрешить HTML вместо санитизации до обычной строки. Если такое поле допускает HTML, любой введённый текст будет выводиться в качестве языка разметки.

Игроки в Counter-Strike вчера пожаловались на использование лазейки внедрения HTML для инъекции изображений в панель для голосования за выброс какого-либо геймера из игры.

Источник: @valluXD

 

Сначала любители CS2 использовали баг ради веселья, однако нашлись и те, кто с его помощью начал получать IP-адреса других игроков. Для этого достаточно было задействовать тег <img> для открытия скрипта, логирующего IP.

Как можно было использовать полученную информацию? Ну, например, злоумышленники могли запустить DDoS-атаки, которые бы выбили конкретных геймеров из матча.

Источник: @aquaismissing

 

К счастью, Valve выпустила обновление весом 7 МБ, которое должно устранить этот неприятный баг.

Договор с клиникой разрешат заключать через сайт, приложение или МАКС

С 1 сентября 2026 года платные клиники будут обязаны включать в договор предупреждение о последствиях несоблюдения рекомендаций врача. Пациенту заранее сообщат, что нарушение режима лечения может ухудшить результат, сорвать сроки оказания услуги или навредить здоровью.

Новое правило будет действовать до сентября 2031 года. Для клиник это дополнительная страховка в спорах с пациентами: если человек забросил назначенное лечение, а потом остался недоволен результатом, предупреждение уже будет стоять в договоре.

При этом подробную информацию о методах лечения, рисках, вмешательствах и ожидаемых результатах медицинская организация сможет предоставлять только по запросу пациента. Так что любителям читать условия всё же придётся задавать вопросы самостоятельно.

Договор разрешат заключать дистанционно — на сайте, в приложении или через мессенджер МАКС. Жёсткое требование об использовании усиленной квалифицированной электронной подписи отменяется. Согласием с условиями может считаться даже частичная или полная оплата услуги.

Также клиникам разрешат выдавать для налогового вычета выписку из медицинской документации вместо рецептурного бланка. Сведения о лечении и оказанных услугах при предусмотренных законом условиях будут передаваться в ЕГИСЗ.

RSS: Новости на портале Anti-Malware.ru