Multiple vulnerabilities in Hi5.com social network
Múltiples vulnerabilidades en la red social Hi5.com: peticiones POST por GET, XSS persistente y CSRF.
Background
Hi5 (www.hi5.com) es una red social fundada en 2003 por Ramu Yalamanchi, con 80 millones de usuarios registrados.
Description
La red social presenta varias vulnerabilidades: las peticiones POST pueden realizarse mediante el método GET; existe Cross-Site Scripting persistente, en el que los datos del atacante se guardan en el servidor y se muestran en páginas normales a otros usuarios sin escapar el HTML; y Cross-Site Request Forgery (CSRF), un ataque que obliga a un usuario autenticado a ejecutar acciones no deseadas.
Business impact
Estas vulnerabilidades permiten ejecutar JavaScript y abren muchas posibilidades a usuarios malintencionados, por ejemplo tomar el control de redes sociales de Hi5 o infectar a millones de usuarios. Una de ellas es hacer visibles todos los perfiles de Hi5 (o cualquier otra acción), por ejemplo aceptando automáticamente comentarios en el perfil de la víctima mediante CSRF con solo visitar una página.
Systems affected
Red social Hi5.com.
Solution
No se ha facilitado ninguna solución.
Disclosure timeline
References
The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.
Compañía con sede en España y Colombia, especializada en auditoría de aplicaciones web, seguridad de red, test de intrusión e implantación y evaluación de cumplimiento. Nuestros clientes incluyen algunas de las mayores compañías de finanzas, telecomunicaciones, seguros y TIC. Proveedor independiente de fabricante, con experiencia profunda desde 2001. Nuestro esfuerzo en I+D incluye investigación de vulnerabilidades, colaboración en proyectos abiertos de seguridad, whitepapers y participación en eventos del sector.
¿Quieres que revisemos tu producto?
Contacta con nosotros¿Necesitas una auditoría de seguridad?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.