XSS en Facebook

[c7b3r]

Buenas!!!

creo que encontre un XSS usando facebook

cuando creo una fanpage, inserto un script como nombre de la misma:

yo le puse de nombre a mi fanpage asi: "<script>alert("Vulnerable");</script> "

http://img29.imageshack.us/si.php?img=eliminacion1.jpg

al momento de eliminar la fanpage antes de pedir la confirmacion, se ejecuta el script!!

http://img63.imageshack.us/si.php?img=eliminacion2.jpg

salu2!!!

[~ Yoya ~]

ps no entiendo mucho la explicacion, podias dar mas de talle, como la input vulnerable, porque creo que tambien es vulnerable a CSRF.

[tragantras]

a mi lo que me parece curioso es el código de la web de imageshack...


hmmm document.write.... hmmmm

http://img29.imageshack.us/img29/1103/eliminacion1.jpg\'?'+document.referrer+

además -> http://img29.imageshack.us/si.php

si cargais eso... otra surprise xD y.... "si.php" no es una página que de normal se de en imageshack, de hecho si la buscais en google la unica coincidencia es con la URI arriba citada


llamadme paranoico xD

[WHK]

a mi lo que me parece curioso es el código de la web de imageshack...


hmmm document.write.... hmmmm

http://img29.imageshack.us/img29/1103/eliminacion1.jpg\'?'+document.referrer+

además -> http://img29.imageshack.us/si.php

si cargais eso... otra surprise xD y.... "si.php" no es una página que de normal se de en imageshack, de hecho si la buscais en google la unica coincidencia es con la URI arriba citada


llamadme paranoico xD

Claro, a eso se le llama xSS
http://img29.imageshack.us/si.php?img=eliminacion1.jpg"><script>alert(document.cookie);</script>

[Castg!]

pero que es esa pagina? de donde la sacaste? sos el webmaster de imageshack !

[tragantras]

ya ya jaja pero que me referia a que el xss estaba en imageshack tambien, no solo en facebook como decia #1

me refiero que nos kerian vender churros por meninas! xD

[WHK]

Bueno la publicación ya quedó acá:
http://foro.elhacker.net/nivel_web/recopilatorio_de_vulnerabilidades_de_xsssqlinjection-t220843.0.html;msg1373457#msg1373457

[WHK]

Bueno el tema ya se publicó acá:
http://foro.elhacker.net/nivel_web/recopilatorio_de_vulnerabilidades_de_xsssqlinjection-t220843.0.html;msg1373457#msg1373457