Что такое стандартные ответы саппорта? - Яндекс

Яндекс не спешит закрывать критические уязвимости

SocFishing · 2014-04-17T08:03:19.0000000Z

Истории про бреши в системе безопасности крупных интернет-компаний всегда резонансные. Вполне логично, что после скандальных сообщений об утечке данных компании бегом лепят багфиксы, прикрывают дыры и рапортуют об устранении ЧП. Это вопрос репутации. Хотелось бы думать, что всякий раз подобные «дырки» являются неприятным сюрпризом для компании, на устранение которых необходимо быстро реагировать. Однако, на практике получается не так. Нами была обнаружена критическая XSS (англ. Сross Site Sсriрting « межсайтовый скриптинг ») уязвимость на странице API. Яндекс. Ошибка допущена в примере вывода Rich Content API из-за слабой проработанности в безопасности при выводе информации о странице. Все это чревато тем, что злоумышленник может накапливать куки пользователей, и впоследствии получать доступ к их аккаунтам. Пример страницы: Мы, будучи честными гражданами, сообщили о проблеме в раздел « Охота за ошибками » и надеялись получить выплату за ошибку в размере 5-10 т.р. Такие деньги гарантировано обещаются участникам конкурса "Охота за ошибками" за найденную XSS. Деньги смешные, но зато можно отметиться в зале славы. Ответ компании нас, честного говоря, удивил. Оказывается, о данной уязвимости компании известно. Сколько времени аутентификационные данные пользователей светятся наружу, оценить сложно. Но сам факт того, что эта уязвимость признана, но компания не спешит решать проблему, удивляет. Этим сообщением мы хотели бы обратить внимание пользователей Яндекса и самой компании на проблему. Мы рекомендуем до момента решения проблемы разлогиниться в сервисах Яндекса и не использовать их до официального уведомления об устранении критической уязвимости.

146

ValD

18 апреля 2014, 13:06

#21

burunduk:
например такое:

Ну всё, дожили - burunduk жалуется на стандартные ответы саппорта.

Куды катится мир. 😕

[Удален]

18 апреля 2014, 13:15

#22

ValD, ну хотя бы стандартные ответы копирайтеру дали составить ;)

1

C

114

censored!

18 апреля 2014, 18:58

#23

Так что XSS на данный момент самый распространенный и дешевый метод кражи. перс. информации.

XSS это мега-мега зло (и пассивные и активные). Просто их многие недооценивают (т.к. не умеют правильно "готовить").

ИМХО, самые лучшие VDS: https://cp.inferno.name/aff.php?aff=4048

215

Васисуалий

18 апреля 2014, 20:22

#24

Кого волнует эта унылая XSS, когда ещё столько сайтов не заагсено!

1

118

SocFishing

18 апреля 2014, 20:30

#25

Перепост по нестандартному использованию этой баги. Или как отправить Яндекс самоликвидироваться.

Еще раз написал письмо в отдел безопасности.

1

★Сервис идентифицирует (https://socfishing.com/?utm_source=searchengines) посетителей вашего сайта и предоставляет их профили ВКонтакте, Телефон, Почта! Цены копеечные, работаем 8 лет.

196

Джо Саратини

18 апреля 2014, 21:06

#26

В маленькой компании директор бы уже набрал по сотыге разработчика: "Макс, там на серче какой-то топик, типа уязвимость нашли. Ты глянь, поправь, если что". И все. На следующий день проблема бы исчезла.

[Гори в аду, Карл ! (http://neprimirim.net/idi-naxuj-karl.php)] [Последняя резиденция королей (http://proza.ru/2017/02/16/2175)] [Продолжение рассказа В.Цоя "Романс" (http://neprimirim.net/romans-viktora-tsoya-prodolzhenie.php)]

В WordPress закрыли четыре В плагине Rank Math В WP-плагине Contact Form

45

Maksimilian

19 апреля 2014, 19:18

#27

Закрыли или нет ?

118

SocFishing

20 апреля 2014, 13:20

#28

Maksimilian:
Закрыли или нет ?

Да. Закрыли. Теперь преобразует специальные символы в HTML-сущности.

274

Дмитрий Удимов

20 апреля 2014, 17:45

#29

SocFishing:
Да. Закрыли. Теперь преобразует специальные символы в HTML-сущности.

Премию за пойманную дичь так и не выплатили?

Топвизор — аккредитованный регистратор доменов .ru и .рф (https://topvisor.com/ru/domain-registration/) — честная цена 299 руб. за регистрацию и продление.

395

den78ru

20 апреля 2014, 21:15

#30

А вот скоро, с 1 августа, вас за терроризм можно будет привлечь, теоретически. :)

1

Люди не делятся на национальности, партии, фракции и религии. Люди делятся на умных и дураков, а вот дураки делятся на национальности, партии, фракции и религии.

В 2023 году Одноклассники пресекли более 9 млн подозрительных входов в учетные записи

Что делать, если ваша email-рассылка попала в спам

Яндекс не спешит закрывать критические уязвимости