Faille XSS sur paypal (par mr « piru » himself)

[bigdan]

bigdan

#5874

Harry Sintonen gratte paypal là ou cela démange… la sécurité des sessions SSL sur le célèbre site de paiement (ils sont assez réactifs sur le sujet en général, tout système de paiement ou monétaire reposant sur la confiance…). Via un script reprenant une attaque de type XSS, il a démontré pouvoir redigier les visiteurs utilisant Internet Explorer vers un serveur non autorisé tout en laissant la page afficher l’url paypal et les indicateurs habituels de sessions sécurisée (couleur verte de l’url, cadenas SSL, etc..).

http://www.theregister.co.uk/2008/05/16/paypal_page_succumbs_to_xss/

Rien de révolutionnaire mais il y avait déjà eu des failles de ce style il y a près de 2 ans… Les browsers évoluent mais les scripts exploitant leurs failles aussi.