dedie
Ein Browser kann den anderen von der Konkurrenz einfach mal so aktivieren, super sauber gecodet
| Zitat: |
Google hat das Sicherheits-Update 1.0.154.59 für seinen Browser Chrome veröffentlicht, um kritische Sicherheitslücken zu schließen. Ursache der Probleme ist die fehlerhafte Verarbeitung der Chrome-spezifischen URI chromehtml: – allerdings nur, wenn sie mit dem Internet Explorer aufgerufen wird. So führt die Verarbeitung des JavaScript-Befehls
document.location = 'chromehtml:"80 java script:eval('alert(\'JavaScript%20Code%20Executed\'); '));'
im Internet Explorer dazu, dass Chrome mit zwei Tabs gestartet wird und in einem davon das eingefügte JavaScript ausführt. Allerdings ist das Skript keiner Domain zugeordnet, sodass sich damit laut Beschreibung in Zusammenhang mit einer weiteren Schwachstelle die Same-Origin-Policy umgehen lässt und der Zugriff auf andere Domains möglich ist. Die Entwickler bezeichnen die Lücke in ihrem Bericht als Universal Cross Site Scripting (UXSS), da es sich auf beliebige Seiten respektive Domain anwenden lässt. |
|
Weitere Infos so wie die Quelle