Slack 应用存在漏洞允许黑客窃取访问令牌劫持账户
漏洞赏金猎人 Frans Rosen 发现社交应用 Slack 存在一个漏洞,可被攻击者利用窃取访问令牌并接管账户。该漏洞存在于应用与互联网浏览器传输数据的方式。Rosen 于上周五报告了这一漏洞,5 个小时后官方便修复了漏洞并付给 Rosen 3000 美元的漏洞赏金。
Slack 利用 postMessage 技术可安全地实现跨域传递信息,但同样也存在一个重大隐患:它不会核查不同域传递过来的信息。Rosen 通过创建一个可劫持程序的恶意页面,并利用该漏洞重新连接受害者的 Slack WebSocket 到自己的 WebSocket 页面上,从而窃取私人 Slack 令牌。
原作者:Pierluigi Paganini,译者:M帅帅
本文由 HackerNews.cc 翻译整理

关注公众号:拾黑(shiheibook)了解更多
[广告]赞助链接:
四季很好,只要有你,文娱排行榜:https://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

随时掌握互联网精彩
赞助链接
排名
热点
搜索指数
- 1 为什么中国意味着确定性未来性 7904459
- 2 多地宣布发钱奖励结婚 7808413
- 3 特朗普甩锅中国用的是P过的图 7713777
- 4 加关税降逆差为啥走不通 7616905
- 5 48岁女子怀孕7个月 28岁女儿发声 7519625
- 6 林志玲真的不会老吗 7426433
- 7 印巴会爆发“全面战争”吗 7332566
- 8 在香港排队时吸烟将罚3000港元 7231660
- 9 谢霆锋转发王菲看他演唱会的博文 7135494
- 10 江苏一眼镜店被古天乐告了 赔偿70万 7048643