Uingizwaji wa kanuni za miradi ya Fomu za Picreel na Alpaca ulisababisha maelewano ya tovuti 4684.

Mtafiti wa usalama Willem de Groot сообщилkwamba kutokana na udukuzi wa miundombinu, wavamizi waliweza kuingiza ingizo hasidi kwenye msimbo wa mfumo wa uchanganuzi wa wavuti. Picreel na jukwaa wazi la kutengeneza fomu shirikishi za wavuti Fomu za Alpaca. Uingizwaji wa nambari ya JavaScript ulisababisha maelewano ya tovuti 4684 kutumia mifumo hii kwenye kurasa zao (1249 -Picreel na 3435 - Fomu za Alpaca).

Imetekelezwa kanuni hasidi ilikusanya taarifa kuhusu kujaza fomu zote za tovuti kwenye tovuti na inaweza, miongoni mwa mambo mengine, kusababisha udukuzi wa taarifa za malipo na vigezo vya uthibitishaji. Taarifa iliyozuiwa ilitumwa kwa seva ya font-assets.com chini ya kivuli cha ombi la picha. Bado hakuna taarifa kuhusu jinsi miundombinu ya Picreel na mtandao wa CDN wa kuwasilisha hati ya Fomu za Alpaca ulivyoathirika. Inajulikana tu kuwa wakati wa shambulio la Fomu za Alpaca, hati zilizowasilishwa kupitia mtandao wa uwasilishaji wa maudhui wa Cloud CMS zilibadilishwa. Uingizaji hasidi ilifichwa kama safu ya data ndani toleo la kupunguzwa script (unaweza kuona nakala ya nambari hapa).

Miongoni mwa watumiaji wa miradi iliyoathiriwa ni makampuni mengi makubwa, ikiwa ni pamoja na Sony, Forbes, Trustico, FOX, ClassesUSA, 3Dcart, Saxo Bank, Foundr, RocketInternet, Sprit na Virgin Mobile. Kwa kuzingatia ukweli kwamba hii sio shambulio la kwanza la aina hii (ona. tukio kwa kubadilisha kihesabu cha StatCounter), wasimamizi wa tovuti wanashauriwa kuwa waangalifu sana wanapoweka msimbo wa JavaScript wa wahusika wengine, hasa kwenye kurasa zinazohusiana na malipo na uthibitishaji.

Chanzo: opennet.ru