Apple.com XSS Exploit található az iTunes webhelyen

Frissítés: Az Apple kijavította a kizsákmányolást!

Azt hiszem, ezt viszonylag gyorsan megjavítják, de vicces (és potenciálisan ijesztő) dolgokat tehet az Apple.com iTunes társwebhelyeivel, ha módosítja az URL-paramétereket. A módosított Apple.com URL a következőképpen alakul: http://www.apple.com/itunes/affiliates/download/?artistName=OSXDaily.com&thumbnailUrl=https://cdn.osxdaily.com/wp-content/themes/osxdaily-leftalign/img/osxdailylogo2.jpg&itmsUrl=https://osxdaily.com&albumName=Best+Mac+Blog+Ever

Kattintson ide az XSS exploit OSXDaily.com verziójához az Apple.com webhelyen – biztonságos, csak azt jeleníti meg, ami a fenti képernyőképen látható.

A szöveg- és képhivatkozások megváltoztatásával bármit elhelyezhet az URL-ben, ami az Apple iTunes webhelyének néhány rendkívül vicces feltört verziójához vezetett. Más felhasználók tovább módosították az URL-t, hogy más webhelyek iFrame-jein keresztül más weboldalakat, JavaScript-kódokat és flash-tartalmakat is be lehessen foglalni, ami mindenféle probléma előtt megnyitja az ajtót. Ezen a ponton ez csak azért vicces, mert senki sem használta aljas célokra, de ha túl sokáig van nyitva a lyuk, ne csodálkozz, ha valaki megteszi. Az OS X Daily olvasója, Mark elküldte ezt a tippet egy módosított linkkel, amely felugró ablakok sorozatát nyitotta meg, és egy iframe-et tartalmazott, amely kevésbé finom tartalmat jelenített meg, a látszólagos (bár feltört) Apple alatt.com márkaépítés, és ez pontosan az a fajta dolog, amit el kell kerülni. Reméljük, az Apple gyorsan kijavítja ezt.

Itt van még néhány képernyőkép, amely bemutatja, hogy miként működik az URL-módosítás, megőrizve az utókor számára: