HTML Injection - Youtube

Jak w tytule.

[Del]

Poprawione już

[hashcode]

@WYKOPOWICZENAPlSALI: A od kiedy to słowo script jest konieczne do odpalenia kodu javascript? Równie dobrze można wpisać np. 

[WYKOPOWICZENAPlSALI]

@Del: chyba raczej przefiltrowane słowo script

[h.....e]

Hmm...komentarze podatne na xss. Dziwnie je zabezpieczyli. Pierwszy tag script zamienia na encje, a po nim już brak kontroli.

[henk]

@hackwise: ciekawe czy coś groźniejszego można wsadzić w ten skrypt... ale nie chce mi się sprawdzać, bo mi jeszcze konto z ulubionymi usuną.

[k.....n]

@henk: Na 4chanie właśnie próbują wykradania plików cookie użytkowników.

[Chudy_]

I w sumie było:

http://www.wykop.pl/link/400103/drobny-exploit-w-komentarzach-na-youtube/

[Chudy_]

http://niebezpiecznik.pl/post/xss-w-youtube/ - informacja na niebezpiecznik.pl

[sq2mmy]

Osobiście zakopałem, ale tylko dla tego że został to upubliczniony cały kod.

Pytanie po co ? Już widzę jak dzieciaki zaczną się bawić an YouTube.

Przykład:

http://www.youtube.com/watch?v=mz83od-rIR0&annotation_id=annotation_937800&feature=iv

[piko]

@kura1: nie będzie masakry, Google już ukryło komentarze i zmieniło wątkowanie -- widać kilka ostatnich komentarzy. Pewnie za chwile całkiem odfiltrują skrypty.

[Chudy_]

@sq2mmy: jak widać, YT już automatycznie ukryło te komentarze, jednak dalej można je wyświetlić

[TheMan]

Robisz to tylko po to, aby dzieciaki z wykopu rzuciły się na youtube zasypując filmiki tekstami "WYKOP k#!!A!" ?

Lepiej zgłoś to do Google niech się tym zajmą, a sławę na Wykopie zdobywaj w mniej inwazyjny sposób.

Pozdrawiam ;o

[M_27]

@TheMan: Sławę na wykopie? Luka nie została wykryta przez moją osobę i jest już szerzej znana wszędzie poza polskimi portalami zajmującymi sie bezpieczeństwem. Załatanie to kwestia godzin, a samo 'znalezisko' można potraktować jako krótkoterminową ciekawostkę.

Pozdrawiam :-)

[L.....d]

@TheMan & @M_27:

Wk!$#iają mnie komentarze, w których komentujący "pozdrawiają".

[a.....p]

dobry efekt wykopię :)