В "Твиттере" эпидемия вредоносных постов

Сервис микроблогов Twitter оказался подвержен во вторник новой XSS-уязвимости, приводящей к различным отклонениям в поведении веб-интерфейса.

Специалисты в области безопасности рекомендуют воздержаться от использования веб-интерфейса до устранения угрозы.

По одной из версий, источником атаки стал пользователь RainbowTwtr, опубликовавший специально сформированный текст поста. Эксплойт состоит из ссылки на профиль пользователя (например, http://twitter.com/#!/username, где username - имя учетной записи пользователя), символов "#@", после которых можно разместить произвольный код. RainbowTwtr размещал специальный набор тегов, который раскрашивал запись полностью в тот или иной цвет (семь опубликованных записей со всеми цветами радуги по всей видимости и обусловил имя блога). Подобные уязвимости относятся к классу XSS-инъекций.

Однако после символов #@ можно разместить не только цветные картинки. В частности, разместив код JavaSсript, который реагирует на наведение мыши (onmouseover), можно получить "ловушку" для пользователя. Наведя мышь на непонятную запись (цветная полоса, странные символы и т.п.), пользователь невольно активирует вредоносный сценарий, отправляющий его, например, на порносайт.

Никаких официальных комментариев от администрации ресурса пока не поступало. До устранения уязвимости не рекомендуется использовать веб-интерфейс Twitter, применяя не подверженные уязвимости сторонние клиенты (TweetDeck, Seesmic и др.) Также по неподтвержденной информации, данной уязвимости не подвержен новый интерфейс сервиса, который, однако, доступен пока лишь некоторым пользователям.

дело