Компанія Google усунула XSS-уразливість в Gmail, яка була пов’язана з динамічними повідомленнями.
Про це в своєму блозі повідомив фахівець з інформаційної безпеки Міхал Бентковський.
AMP4Email (також відомий як динамічна пошта) – це нова функція Gmail, яка дозволяє електронним листам включати динамічний HTML-контент.
За допомогою динамічної електронної пошти користувач може легко виконувати дії безпосередньо з самого повідомлення, наприклад, заповнювати анкету, переглядати каталог або відповідати на коментарі.
Однак Бентковський знайшов в цій функції можливість проведення XSS-атак. Хоча в AMP4Email є захист від таких проблем, він зумів обійти її за допомогою успадкованої функції DOM Clobbering.
“DOM Clobbering – це застаріла функція веб-браузерів, яка продовжує викликати проблеми в багатьох додатках”, – пояснив він.
Дослідник показав, як зловмисник може додавати зловмисний код в електронний лист за допомогою AMP4Email. 15 серпня він повідомив про це Google, за що заробив 5000 доларів. 12 жовтня вразливість була усунута.
Джерело: bykvu.com
