PayPal soluciona crítico XSS persistente que permitía robar datos financieros
agosto 27, 2015PayPal soluciona vulnerabilidad XSS del tipo persistente en su servicio de Pago Seguro (Secure Payment), que permitía robar datos financieros y cuentas de usuario del sitio. El 19 de Junio del 2015 Ebrahim Hegazy investigador de Seguridad radicado en Egipto, descubrió y reportó esta vulnerabilidad a PayPal mediante el sistema bug bounty, en el que […]
PayPal soluciona vulnerabilidad XSS del tipo persistente en su servicio de Pago Seguro (Secure Payment), que permitía robar datos financieros y cuentas de usuario del sitio.
El 19 de Junio del 2015 Ebrahim Hegazy investigador de Seguridad radicado en Egipto, descubrió y reportó esta vulnerabilidad a PayPal mediante el sistema bug bounty, en el que se le paga a quien encuentre y reporte un vulnerabilidad crítica que afecte los sistemas de la empresa.
El XSS permitía a un atacante modificar el código HTML del sitio de Secure Payment, que hace de intermediario cuando se compra desde cualquier sitio de compras online para no almacenar datos sensibles como el número de tarjeta de crédito o el usuario y contraseña de la cuenta de PayPal.
Una vez modificado el código podía hacer prácticamente lo que quisiera con la información.
PayPal tardó poco más de 2 meses en resolver este fallo y ha recompensado a Ebrahim con $750 USD, el pago más alto hecho por una vulnerabilidad XSS (Cross site scripting).
Artículos relacionados
AlienSpy reaparece pero con el nombre de Jsocket
25 de agosto de 2015Desde hace un par de semanas se están reportando distintas infecciones de Troyanos de acceso remoto (RAT) en organizaciones del sector financiero, tecnológico y de consultoría en Estados Unidos, Reino Unido y Alemania. Todo indica que se trataría del nuevo AlienSpy, ahora con un nuevo nombe Jsocket y además vendría con algunas importantes mejoras.
Hackers Iraníes podrían hackear cuentas de Gmail
31 de agosto de 2015A través de campañas de phishing hackers Iraníes se aprovechan del sistema de doble verificación para hackear cuentas de gmail. Las técnicas usadas en estos ataques no son nuevas, pero al tener objetivos específicos con un nivel de personalización muy alto en cada ataque, se hace más difícil detectar que se trata de un engaño. […]
