Zhakuj sobie Allegro! [XSS]

Wczoraj przez przypadek na ciekawą „funkcjonalność” Allegro.pl. Nie jest to może krytyczny błąd, gdyż aby z niego skorzystać potrzebujemy dostępu do komputera i przeglądarki ofiary, ale mimo to może przysporzyć sporo problemów na komputerach „ogólnodostępnych”.

[KKKas]

Jak chcesz sobie "zhakować" to wpisz w pasku przeglądarki kod z http://pastebin.com/m64688ebd :-P

[giker]

Ale hack nie ma co.

Przecież jak się ma dostęp do komputera "ofiary" to w Operze czy FF można równie dobrze napisać skrypt dla strony i np. podmienić pola formularza logowania na własne i wysyłać do siebie na serwer.

To tak jakby ktoś napisał, że zna łatwy sposób na kradnięcie samochodów - wystarczy mieć kluczyki.

[q.....c]

Dzieci neo zaraz zaczną się bawić. Trochę niemądre. Jak już chciałeś to umieścić gdzieś to na jakimś forum technicznym albo najlepiej zachować dla siebie, ew. poinformować allegro.

[vsemaphore]

Uważam, że ten błąd nie jest na tyle niebezpieczny. Musisz mieć dostęp do kompa. Gdyby można było to w jakiś sposób zdalnie, wtedy byłoby to co innego.

[MartinZG]

Całkiem ciekawy artykuł. Morał nie wchodzić na Allegro w pracy, w szkole, w kawiarence. Fajnie by było gdyby był screen z finalnym efektem - to tak na marginesie.

[vsemaphore]

Mówisz - masz :)

Dodałem screen z finalnym efektem.