CNIL CookieViz XSS + SQL injection leading to user pwnage

/3

Stéphane Bortzmeyer @stephane CC BY-SA 4/11/2014

1

1

La #CNIL met à la disposition des internautes un outil d’analyse de leurs #cookies, #CookieViz ▻http://www.cnil.fr/vos-droits/vos-traces/les-cookies/telechargez-cookieviz
Celui-ci semble programmé avec les pieds, question sécurité, avec des injections SQL ou HTML (#XSS) nombreuses ▻http://seclists.org/fulldisclosure/2014/Nov/3 Un exemple simple a été donné sur Twitter ▻https://twitter.com/mrikFR/status/413325302861811712
Une bogue a été ouverte sur leur système de tickets ▻https://github.com/LaboCNIL/CookieViz/issues/3
#sécurité_informatique
- #Twitter
Stéphane Bortzmeyer @stephane CC BY-SA
- Stéphane Bortzmeyer @stephane CC BY-SA 4/11/2014
  
  De la CNIL : ▻https://twitter.com/CNIL/status/529566037432631296
  
  Stéphane Bortzmeyer @stephane CC BY-SA
- Lou @lou CC BY-NC-ND 4/11/2014
  
  On peut trouver ça nul qu’il y ait des failles de sécurité, mais tout de même je trouve l’initiative louable, pour sensibiliser l’internaute.
  
  Lou @lou CC BY-NC-ND
- Stéphane Bortzmeyer @stephane CC BY-SA 4/11/2014
  
  En français : ▻http://www.zdnet.fr/actualites/cookies-une-vulnerabilite-decouverte-sur-un-logiciel-propose-par-la-cnil-39808 (bizarre usage du conditionnel alors que la faille est bien documentée)
  Un premier patch (en 2014, les données venues de l’extérieur n’était pas « escapées »...) ▻https://github.com/LaboCNIL/CookieViz/commit/489b6050f6c53fe7b24c4bed3eeb9c25543960e2
  
  Stéphane Bortzmeyer @stephane CC BY-SA
- Stéphane Bortzmeyer @stephane CC BY-SA 5/11/2014
  
  Un article sur la correction de la faille : ▻http://www.nextinpact.com/news/90780-des-failles-decouvertes-dans-cookieviz-cnil-publie-correctif.htm
  
  Stéphane Bortzmeyer @stephane CC BY-SA
Écrire un commentaire