blog.virgule.info

10 minutes de sécurité: bilan une semaine plus tard

Une semaine plus tard:

La faille chez fuzz existe toujours.
Maintenant que scoopeo est revenu, on peut constater le même type de faille chez eux. ~~Je n'ai pas trouvé d'adresse pour les contacter~~ (maintenant corrigée)

Edit: Encore trouvés en 10 minutes:

Les 3 ont été contactés.

Par Mathieu Pillard le jeudi, novembre 23 2006, 00:24 - Lien permanent

1. Le jeudi, novembre 23 2006, 10:45 par jm: Bonjour,
Je ne comprends pas en quoi consiste la faille
Bien à vous,
JM
2. Le jeudi, novembre 23 2006, 10:50 par mat: Elle permet une attaque de type Cross Site Scripting. Un attaquant pourrait donner une url de ce type à quelqu'un et lui voler sa session et donc son compte, lui faire voter pour des news, etc.

cf en.wikipedia.org/wiki/XSS
3. Le jeudi, novembre 23 2006, 11:01 par Eric: Ok pour PW2006, ça sera corrigé dès que l'un de nous aura accès au FTP (oui, certaines sociétés interdisent le FTP à leurs ingénieurs Web)

Merci pour le rapport
4. Le jeudi, novembre 23 2006, 11:27 par jm: Merci pour l'info.
J'ai corrigé la faille.
Je vais implémenter une solution plus générique un de ces jours
Bien à vous
5. Le jeudi, novembre 23 2006, 11:40 par mat: Eric: nous on embauche