De Telegraaf timmert xss-lek in website dicht
Gepubliceerd: Maandag 27 augustus 2007
Auteur: Edwin Feldmann
De Telegraaf heeft een cross site scripting (xss)-kwetsbaarheid in zijn website gedicht waardoor nepartikelen op de site konden worden gepubliceerd.
Dankzij een zoekbox van Google op de krantensite, bleek het mogelijk om html-code in de pagina van De Telegraaf te injecteren. Hierdoor konden kwaadwillende gebruikers een eigen tekst op de site laten verschijnen, alsof het door de krant was gepubliceerd.
Volgens de ontdekker van het lek kunnen hierdoor rare berichten de wereld in worden geholpen. "Je kunt zo een bericht maken als 'VS valt Iran binnen' of 'Geert Wilders vermoord' en vervolgens de url loslaten op Digg, del.icio.us en andere netwerken."
De krant heeft het lek maandag gedicht. "Met de html-injectie had de hacker alleen invloed op de content op de site. Het ging niet om toegang tot systemen waar de betalingen worden afgehandeld", aldus de technische afdeling van De Telegraaf.
De Nederlandse hacker had vorig jaar september al een soortgelijke fout in de 'About me'-pagina op Ebay geconstateerd.
