Auf einer Unterseite der Online-Auktionsplattform eBay wurde ein URL-Parameter kürzlich bekannt gewordenen Informationen zufolge nur unzureichend geprüft. Dadurch ergab sich eine kritische XSS-Lücke.
Ein Angreifer hätte durch das erfolgreiche Ausnutzen dieser Schwachstelle möglicherweise fremde eBay-Konten übernehmen können. Zu diesem Zweck musste man zunächst in den Besitz der zugehörigen Cookies kommen. Angeblich konnten Links erstellt werden, bei denen im Kontext der offiziellen eBay-Domain beliebiger JavaScript-Code ausgeführt wurde.
Daniel Sparka wurde auf diese Problematik aufmerksam und hat sich nicht nur an ‘Heise Security’ mit diesem Thema gewendet, sondern auch eBay selbst darüber informiert. Von den Betreibern der Plattform erhielt er allerdings lediglich den Hinweis, die temporären Dateien in seinem Browser zu löschen. Ganz offensichtlich wurde der eingesendete Tipp in diesem Fall falsch verstanden.
Quelle : winfuture.de
