El popular servicio de microblogging recientemente añadió la característica added rel=nofollow en los enlaces producidos por su API -por ejemplo, los clientes que usamos para twittear-, y esa característica puede ser aprovechada para un ataque muy peligroso.
Un usuario de esta red ha descubierto que al cambiar el enlace en la configuración de la aplicación, ese cambio afecta a todos los tweets de nuestro historial que han sido generados por la aplicación modificada. De modo que es posible experimentar para tratar de evitar el atributo nofollow.
Eso hace que sea posible aplicar un ataque Cross-Site Scripting que enlace a sitios que no deberían poder enlazarse. Por ejemplo, se podría incluir un código JavaScript que robase la cookie del login del usuario que pincha en ese falso enlace y la enviara al atacante.
Un usuario de esta red ha descubierto que al cambiar el enlace en la configuración de la aplicación, ese cambio afecta a todos los tweets de nuestro historial que han sido generados por la aplicación modificada. De modo que es posible experimentar para tratar de evitar el atributo nofollow.
Eso hace que sea posible aplicar un ataque Cross-Site Scripting que enlace a sitios que no deberían poder enlazarse. Por ejemplo, se podría incluir un código JavaScript que robase la cookie del login del usuario que pincha en ese falso enlace y la enviara al atacante.
No hay comentarios:
Publicar un comentario