PayPal исправила серьезную уязвимость в платежной системе

PayPal исправила серьезную уязвимость в платежной системе

ИБ-исследователь из Египта Ибрагим Хегази (Ebrahim Hegazy) обнаружил XSS-уязвимость в домене SecurePayments.PayPal.com. Данный домен используется владельцами интернет-магазинов и позволяет пользователям осуществлять покупки с помощью платежной карты или учетной записи PayPal, исключая необходимость хранения ресурсом важной финансовой информации.  

 Согласно данным Хегази, уязвимость позволяла злоумышленникам изменить содержимое страницы SecurePayments, ввести пользователей в заблуждение и получить финансовые данные жертв. Например, заменить кнопку "Оформить заказ" на URL, специально созданный для эксплуатации XSS-уязвимости. Собранные данные отправлялись бы на сервер, подконтрольный злоумышленникам.  

 Инъекции XSS-кода можно ввести в страницу PayPal SecurePayments через URL, который может выглядеть следующим образом: https://securepayments.paypal.com/vulnerablepage?param=XSS-Code. Затем вредоносный URL можно внедрить в кнопку "Оформить заказ", отмечает Хегази.     

 Эксперт сообщил об уязвимости представителям PayPal 19 июня 2015 года. Исправление бреши было подтверждено 25 августа текущего года. За выявление уязвимости Хегази получил $750, что на данный момент является крупнейшим вознаграждением за обнаружение XSS-уязвимости.

Источник:
securitylab