A quanto pare anche il nuovo sito Italia.it adotta misure di sicurezza inadeguate. Ecco uno screenshot:
(A causa di problemi avuti in precedenza non cito il link che mostra la vulnerabilità)
Il sito nuovo di zecca è soggetto ad una vulnerabilità Cross Site Scripting a causa di un superficiale controllo degli input dell'utente. Il filtro esiste ma i tag filtrati non sono sufficienti ad impedire la manipolazione di uno script javascript per sferrare un attachi XSS.
Prima lanciamo il sito, poi pensiamo alla sicurezza. Funziona così? Quando inizieranno a prendere sul serio la sicurezza informatica?
1. WebDataBank, Venerdì 23 Febbraio 2007 ore 19:40
bella roba
45 milioni di euro buttati nel cesso.
2. Maerco, Venerdì 23 Febbraio 2007 ore 21:04
beh... sai..
hanno voluto lanciarlo in fretta e furia...
facendo un sito in "solo" un anno, non hai tempo di controllare la sicurezza...
bah!
3. naevus, Venerdì 23 Febbraio 2007 ore 21:49
cosa pretendi per un investimento di soli 45 milioni di euro?
4. Davide Denicolo, Venerdì 23 Febbraio 2007 ore 21:57
mi rifiuto di commentare..essendo anche la mia azienda coinvolta in questo "fantomatico" portale....bleahh
5. MondoMela.it, Sabato 24 Febbraio 2007 ore 02:47
pare che solo il logo sia costato 100.000euro!
6. TixXio, Sabato 24 Febbraio 2007 ore 10:17
Forse non ce l'hanno fatta col budget...
7. gianpaolo, Sabato 24 Febbraio 2007 ore 12:03
Magari col doppio della cifra avrebbero fatto meglio :)
Grande Gianni..
8. Gianni Amato, Sabato 24 Febbraio 2007 ore 13:27
Per individuare queste vulnerabilità non ci vuole un attestato di specializzazione nell'arte dell'hacking. E' un comunissimo bug che ormai tutti dovrebbero conoscere, i programmatori pagati con fior di quattrini in primis.
9. Brivio Stefano, Sabato 24 Febbraio 2007 ore 17:09
Mi verrebbe da dire LoL, tutto il portale è LoL. Poi quando penso a quanti dei nostri soldi hanno buttato nel cesso, mi incavolo come una biscia..
10. LordVal, Martedì 27 Febbraio 2007 ore 21:48
Per chi non l'avesse visto, ecco un esempio di XSS: http://jhack.wordpress.com/2007/02/25/italiait-applicazione-pratica-di-xss/.
Bye,
LV