รายงานช่องโหว่ของหน้าเว็บอเมซอนในส่วนของรายการหนังสือที่อัพโหลดโดยผู้ใช้ ทำให้แฮกเกอร์หลอกลวงให้ผู้ใช้อัพโหลดหนังสือเอง เช่น หนังสือเถื่อน หรือ แฮกเกอร์สามารถขโมยบัญชีอเมซอนออกไปได้
ช่องโหว่นี้เกิดจากอเมซอนนำชื่อหนังสือไปแสดงบนหน้าเว็บโดยตรง ทำให้แฮกเกอร์สามารถตั้งชื่อหนังสือเป็น <script src="https://www.example.org/script.js"></script> เพื่อให้หน้าเว็บโหลดเอาสคริปต์ขึ้นไปรัน
Benjamin Daniel Mussler นักวิจัยได้รายงานปัญหาไปตั้งแต่ปลายปีที่แล้วและทางอเมซอนได้แก้ไขไปแล้ว แต่ล่าสุดเมื่อกลางปีที่ผ่านมาอเมซอนแก้ไขหน้าเว็บทำให้เกิดปัญหานี้อีกครั้ง นักวิจัยจึงรายงานปัญหาดังกล่าวไปอีกครั้ง แต่ไม่มีการตอบกลับเป็นเวลาสองเดือนเต็ม เมื่อนักวิจัยเปิดเผยบั๊กนี้สู่สาธารณะ ทางอเมซอนจึงได้ทำการแก้ปัญหาภายใน 4 วัน
ที่มา : B.FL7.DE
Leave a comment!
You must be logged in to post a comment.