[視頻]雅虎修復郵件服務大漏洞：研究者獲10000美金獎勵
2016-01-21 09:53:16 來源：cnBeta.COM 評論：0 點擊：

雅虎剛剛修復了一個可被攻擊者用于劫持賬戶的郵箱漏洞，而此前，他們竟然可以在量身定制的郵件消息中嵌入惡意的JavaScript代碼。該漏洞的可怕之處在于，即使用戶只是閱讀消息，代碼也會被執行，然后攻擊者就能夠完全攻破受害者的賬戶、劫持設置，甚至在沒有許可或不被察覺的情況下發送郵件。

雅虎剛剛修復了一個可被攻擊者用于劫持賬戶的郵箱漏洞，而此前，他們竟然可以在量身定制的郵件消息中嵌入惡意的JavaScript代碼。該漏洞的可怕之處在于，即使用戶只是閱讀消息，代碼也會被執行，然后攻擊者就能夠完全攻破受害者的賬戶、劫持設置，甚至在沒有許可或不被察覺的情況下發送郵件。

multiple-mailboxesaccount-view-on-desktop.png【圖片來源：Yahoo】

這個bug在1月早些時候被修復，距離其通過HackerOne漏洞獎勵計劃被告知該安全問題后不久。

私下里向這家總部位于加州桑尼韋爾的公司披露詳情的研究人員Jouko Pynn?nen，被給予了1萬美元的獎勵。

Yahoo Mail stored XSS

Pynn?nen表示，該漏洞在影響任何現實用戶前就已被修復，問題在于雅虎是如何過濾郵件中的HTML格式的。

盡管該公司意欲借此阻止惡意代碼被放入用戶的收件箱，但該過濾器仍“漏過了個別惡意HTML代碼格式”。

[編譯自：Cnet]

分享到：

足球资料库数据/孙祥/nba五佳球/足球直播哪个平台好 - cctv5今日现场直播