Neuer Termin für Seminar zur Websicherheit

Bewertung dieses Beitrags: 100%
29. Januar 2009 12:59

Peinlich: gefährliche XSS-Lücke auf cirosec.de (der Seminaranbieter!) (Editiert vom Verfasser am 29.01.09 um 13:26)

Das möchte man doch von einem Sicherheitsspezialisten sehen, von
einem, der "professionelle Security Audits" anbietet! Ist es lustig
oder einfach nur bodenlos peinlich?

Mit einem einfachen Trick, kann man die Blättern-Links der Suche dazu
missbrauchen, den Nutzer zu seiner Wunsch-URL umzuleiten. Hier eine
Umleitung auf google.de. Dazu klicke man unten auf der Seite auf die
"1".

Demo:

http://www.cirosec.de/suchen.php?suchtext=cirosec&index=1&grossschrei
bung=1%22%3E%20%3Ca%20href=http://www.google.de%20onmouseover=alert(3
)%3E%3Cspan

Der Link komprimiert:

http://tinyurl.com/aeplzc

EDIT: Das "onmouseover=alert(3)" ist nur ein Test gewesen, kann raus,
deutet aber auch die Reichweite des Fehlers an