تخریب صدها صفحه یاهو با آسیب پذیری XSS

به گفته بهروز صادقی پور که بارها آسیب پذیری های مختلفی را در وب سایت یاهو شناسایی کرده، برخی از خدمات محبوب یاهو، از جمله Travel، Food، Security، Developer، News، Weather، Shopping، Celebrity، TV، Music و Finance تحت تاثیر این آسیب پذیری قرار گرفته اند.

این آسیب پذیری ها در بخش نظرات این صفحات نهفته شده اند. یک مهاجم به سادگی می تواند با ارسال نظراتی که حاوی کد های مخرب می باشند، صفحات ذکر شده را تخریب نماید. به گفته صادقی پور این حفره امنیتی می تواند به دو نوع از حملات XSS منجر شود. اول اینکه باعث ذخیره حمله XSS می شود که در آن تمامی بازدید کنندگان صفحه ای که با کد های مهاجم آلوده شده اند، تحت تاثیر قرار می گیرند. حمله دوم این حفره امنیتی، توسط خود هکر صورت می پذیرد. در این سناریو، کاربرانی تحت تاثیر قرار می گیرند که بر روی نظری رای داده اند که توسط هکر بیان شده است.

این آسیب پذیری در 29 آوریل 2014 به یاهو گزارش شد. یک روز بعد، یاهو بخش نظرات خود را در خدمات مختلف وب سایت غیر فعال کرد و نهایتا در دوم ماه می، این آسیب پذیری را به طور کامل رفع نمود.