⁣🌐 Google Cloud e Google Play: attenzione alle Vulnerabilità XSS

Un paio di vulnerabilità in Google Cloud, DevSite e Google Play potrebbero aver consentito agli aggressori di realizzare attacchi di scripting incrociato (XSS), aprendo la porta ai dirottamenti degli account.

La prima vulnerabilità è un bug XSS riflesso in Google DevSite. Un collegamento controllato da un utente malintenzionato potrebbe eseguire JavaScript sulle origini http://cloud.google.com e http://developers.google.com, il che significa che un attore malintenzionato potrebbe leggerne e modificarne i contenuti, aggirando la policy della stessa origine.

Il ricercatore 'NDevTK', che ha scoperto entrambe le vulnerabilità, ha informato tutti dicendo che a causa di una vulnerabilità nell'implementazione di <devsite-language-selector> ,parte dell'URL è stata riflessa come html, quindi è stato possibile ottenere XSS sulle origini utilizzando quel componente dalla pagina 404.

La seconda vulnerabilità è un XSS basato su DOM su Google Play. Le vulnerabilità XSS basate su DOM di solito si verificano quando JavaScript preleva i dati da un'origine controllabile da un utente malintenzionato, come l'URL, e li passa a un sink che supporta l'esecuzione di codice dinamico, come eval() o innerHTML .

Ciò consente agli aggressori di eseguire JavaScript dannoso , che in genere consente loro di dirottare gli account di altri utenti.