Planeta-seo.pl - XSS umożliwiający kradzież sesji admina

Zwróciłem uwagę na wpisy okazwloka, który informował "Planetą SEO is dead". Dlaczego? I jak możemy wykorzystać podatność?

Jak słusznie zauważył autor: poprzez umieszczenie tagu title, z którym nie poradził sobie skrypt planety seo.

Jak możemy to wykorzystać do złych zamiarów?

Np. osoby publikujące wpisy mogłyby opublikować artykuł, który w tytule zawierałby kod JavaScript wykradający sesję admina, przesyłając ją na inny serwer, zapisując w pliku itd.

Szybki test? Jeśli Twój blog pojawia się na planeta-seo.pl to opublikuj artykuł z tytułem

Testowy <script>alert(document.cookie)</script>

Każdemu odwiedzającemu wyświetli się okienko… może jednym z nich będzie również admin ;) A gdy zmodyfikujemy kod będziemy w stanie wykraść sesję do panelu admina, który jest pod adresem planeta-seo.pl/admin ;)

Pokazałem jak i co można przez to osiągnąć tutaj: