Хабрахабр: Коллективные / Блоги / Захабренные Голосов: 10 Адрес блога: http://habrahabr.ru/blog/ Добавлен: 2007-10-24 18:05:40 блограйдером Robin_Bad

Информационная безопасность / HTML/CSS-инъекция в почте Mail.Ru

2011-10-15 21:41:34 (читать в оригинале)

Всё новое — это хорошо забытое старое: помнится, несколько лет назад в ЖЖ был баг, который позволял вставляемым в текст комментария элементам назначать абсолютное позиционирование. Фактически, всё описанное в данном посте базируется на этой идее.

Описанная уязвимость касается любых форм ввода, допускающих ввод пользовательского HTML-кода.