Անվտանգության հետազոտող Վիլեմ դե Գրոտ որ ենթակառուցվածքը կոտրելու արդյունքում հարձակվողները կարողացել են վնասակար ներդիր տեղադրել վեբ-վերլուծական համակարգի կոդի մեջ և ինտերակտիվ վեբ ձևերի ստեղծման բաց հարթակ . JavaScript կոդի փոխարինումը հանգեցրեց 4684 կայքերի վտանգի, որոնք օգտագործում էին այս համակարգերը իրենց էջերում ( — Պիկրել և - Ալպակայի ձևեր):
Իրականացվել է հավաքել է տեղեկատվություն կայքերում բոլոր վեբ ձևաթղթերը լրացնելու մասին և, ի թիվս այլ բաների, կարող է հանգեցնել վճարային տեղեկատվության մուտքագրման և իսկականացման պարամետրերի խափանմանը: Գաղտնագրված տեղեկատվությունը ուղարկվել է font-assets.com սերվերին՝ պատկերի հարցման անվան տակ: Դեռևս տեղեկություններ չկան այն մասին, թե կոնկրետ ինչպես են վտանգվել Picreel ենթակառուցվածքը և CDN ցանցը՝ Alpaca Forms սկրիպտը տրամադրելու համար: Հայտնի է միայն, որ Alpaca Forms-ի վրա հարձակման ժամանակ փոխարինվել են Cloud CMS բովանդակության առաքման ցանցի միջոցով առաքված սցենարները։ քողարկված էր որպես տվյալների զանգված սցենար (կարող եք տեսնել ծածկագրի տառադարձումը ).
Վտանգված նախագծերից օգտվողների թվում կան բազմաթիվ խոշոր ընկերություններ, այդ թվում՝ Sony, Forbes, Trustico, FOX, ClassesUSA, 3Dcart, Saxo Bank, Foundr, RocketInternet, Sprit և Virgin Mobile: Հաշվի առնելով այն հանգամանքը, որ սա նման տեսակի առաջին հարձակումը չէ (տես. StatCounter հաշվիչի փոխարինմամբ) կայքի ադմինիստրատորներին խորհուրդ է տրվում շատ զգույշ լինել երրորդ կողմի JavaScript կոդ տեղադրելիս, հատկապես վճարումների և նույնականացման հետ կապված էջերում:
Source: opennet.ru