Cross site scriptinglek in Facebook
Gepubliceerd: Woensdag 30 maart 2011
Auteur: Andreas Udo de Haes
Door een lek in de mobiele versie van Facebook konden kwaadwillenden berichten op de profielpagina van andere gebruikers plaatsen. Het gat werd flink misbruikt.
Berichten plaatsen
Tot dinsdagavond zat er een cross site scripting (XSS) lek in m.facebook.com. Hierdoor was het mogelijk om berichten op de Facebookmuur van anderen te plaatsen. Dit is niet alleen vervelend, maar ook gevaarlijk, aangezien veel valse berichten linkten naar geïnfecteerde sites, waardoor de exploit zich vermenigvuldigde als een XSS-worm.
De mobiele site filterde onvoldoende op scripts, zodat bijvoorbeeld malicieuze iframes en Javascript vanaf andere sites werd toegelaten. Symantec heeft vooral op Indonesische Facebook duizenden valse berichten aangetroffen. Inmiddels heeft het bedrijf het gat dichtgetimmerd.
