Geekissimo

Scoperto BUG XSS all’interno del sito di Repubblica.it

 
@mister6339 (Michele Laganà)
6 Settembre 2009
23 commenti

bug_repubblica-it

Insomma, chi di noi almeno una volta non si è ritrovato sul sito Repubblica.it? La nota testata giornalistica italiana che ultimamente sta facendo parlare molto di sé per i fatti di politica che va raccontando quotidianamente, ha un BUG sul proprio Sito. E’ sì, quel stio che abbiamo tanto navigato durante le elezioni Americane, quel sito che ci teneva in contante aggiornamento sulle ultime notizie dall’Abruzzo nelle ore subito dopo il terremoto, insomma, quel sito che si presenta come principale rivale all’ormai nota agenzia di stampa Ansa.it.

Come avrete letto nel titolo, questo sito soffre di un piccolo (?) BUG XSS. Questo BUG ci permette di creare delle pagine con delle notizie simili a quelle che vengono presentate sul sito, infatti, ogni utente potrà pubblicare la propria notizie sul sito. Il BUG si nasconde all’interno dell’URL che viene creato quando si effettua una ricerca all’interno del vasto archivio del sito internet.


Ecco l’URL che appare quando si effettua una ricerca:
http://ricerca.repubblica.it/repubblica?query=PAROLACERCATA&view=archivio

Al posto della parte dove trovate scritto “PAROLACERCATA“, provate ad inserire un semplice codice HTML con del testo od il link ad un immagine. Il risultato sarà quello che vedete in questo Link. Come vedete, è bastato utilizzare questo codice che in pochissimo tempo, abbiamo messo un’immagine nella pagina del sito, immagine che potrà essere sostituita da altro codice HTML in modo da rendere la pagina identica all’originale.

http://ricerca.repubblica.it/repubblica?query=Geekissimo%20re%20del%20WEB%20anche%20questo%20mese%20-%20LaRepubblica.it%3C/title%3E%3C/head%3E%3Cbody%3E%3Cimg%20src=http://www.geekissimo.com/wp-content/uploads/2009/09/2009-09-05_170805.png%3E%3Cbr%3E%3Cbr%3E%3Cbr%3E%3C/body%3E%3C/html%3E&view=archivio

I pericoli di questo BUG sono diversi. Chi ha scoperto il BUG (Valentino Marangi) già ha pensato a segnalare il BUG alla redazione di Repibblica, la quale ancora non ha dato risposta al blogger, vediamo nei prossimi giorni se il problema verrà corretto, sicuramente vi terremo aggiornati in questo articolo.

Potrebbe interessarti anche
Articoli Correlati
Google, oltre 3 milioni di dollari in palio per chi buca Chrome OS

Google, oltre 3 milioni di dollari in palio per chi buca Chrome OS

In quel di Google ne sono più che certi: Chrome OS, il sistema operativo basato sul browser web di big G, è inviolabile e per dimostrarlo Mountain View ha deciso […]

Kaspersky, i prodotti Microsoft sono più sicuri

Kaspersky, i prodotti Microsoft sono più sicuri

Stando a quanto reso noto dai tecnici di Kaspersky, la celebre azienda russa specializzata in soluzioni per la sicurezza informatica, diversamente da quanto accadeva sino a qualche tempo addietro tra i […]

Crea il tuo Curriculum Vitae (CV) Online

Crea il tuo Curriculum Vitae (CV) Online

EuroPass è un’iniziativa della comunità europea che tende ad uniformare alcuni documenti di vitale importanza per molti di voi. I cinque documenti che questa iniziativa tende ad uniformare sono: .CV, […]

Gkeeper, nuovo servizio per salvare i segnalibri online

Gkeeper, nuovo servizio per salvare i segnalibri online

Quanti di voi vorrebbero avere i propri segnalibri direttamente online? Ci sono tanti siti che vi permettono di salvare i preferiti in un vostro account personale accessibile da qualsiasi collegamento […]

Rapidshare perde una nuova causa. Dovrà Filtrare gli upload

Rapidshare perde una nuova causa. Dovrà Filtrare gli upload

Il sito di upload gratuito più conosciuto al mondo è sicuramente RapidShare. Subito dietro di lui, troviamo Megaupload e qualche piccola realtà che rende il mondo del free upload molto […]

Lista Commenti
Aggiungi il tuo commento

Fai Login oppure Iscriviti: è gratis e bastano pochi secondi.

Nome*
E-mail**
Sito Web
* richiesto
** richiesta, ma non sarà pubblicata
Commento

  • #1Ste_95

    A me torna un 403….

    6 Set 2009, 9:18 am Rispondi|Quota
  • #2Keyv

    @ Ste_95: avranno bloccato gli accessi perchè si saranno accorti del bug…xD

    6 Set 2009, 9:38 am Rispondi|Quota
  • #3Michele Laganà (Mister6339)

    Come scritto nell’articolo, il BUG è stato già segnalato alla redazione, evidentemente lo hanno corretto! 🙂

    6 Set 2009, 9:40 am Rispondi|Quota
  • #4Razorblade

    Quoto, forse hanno temporaneamente sistemato la falla.

    6 Set 2009, 9:42 am Rispondi|Quota
  • #5morgoth90

    no, non è stato corretto niente, è solo scritto male il link

    6 Set 2009, 10:44 am Rispondi|Quota
  • #6Ardaking

    il bug su repubblica è stato scoperto ancora il 22/09/2008 da “Langy”…chi ha scritto l’articolo è meglio che si documenti prima…eppoi non avete altro da scrivere ?

    6 Set 2009, 10:51 am Rispondi|Quota
  • #7Mauro

    Bug a parte… potevate evitare di metterci un articolo a sfondo politico come esempio (mi riferisco ovviamente all’immagine di Repubblica).

    6 Set 2009, 10:56 am Rispondi|Quota
  • #8Ardaking

    Mauro dice:

    Bug a parte… potevate evitare di metterci un articolo a sfondo politico come esempio (mi riferisco ovviamente all’immagine di Repubblica).

    esatto

    6 Set 2009, 11:04 am Rispondi|Quota
  • #9iFonz

    Forbidden

    You don’t have permission to access /repubblica on this server.

    6 Set 2009, 12:08 pm Rispondi|Quota
  • #10Michele Laganà (Mister6339)

    Il bug è stato corretto.

    6 Set 2009, 12:10 pm Rispondi|Quota
  • #11Ardaking

    @ Michele Laganà (Mister6339):
    prova a scrivere un altro articolo così vediamo se corregono anche questo:
    http://seidimoda.repubblica.it/ricerca?keyword=%22%3E%3C/input%3E%3Cscript%3Ealert%28%22Altro%20XSS%22%29%3C/script%3E

    (permette anche l’inclusione di .js esterni)
    (risale al 08/09/2008 sempre trovato da “Langy”)

    6 Set 2009, 12:27 pm Rispondi|Quota
  • #12Alkratos

    ahahahah ke bug!! ahahah
    carino l’articolo : “Geekissimo re del web”
    ahah complimenti
    continuate così

    6 Set 2009, 2:12 pm Rispondi|Quota
  • #13camillo

    Mauro dice:

    Bug a parte… potevate evitare di metterci un articolo a sfondo politico come esempio (mi riferisco ovviamente all’immagine di Repubblica).

    ma scherzi? ….sara’ vecchio ma ogni scusa e buone per poter promuoversi…..senno’ che pagano a fare gli sponsor?

    6 Set 2009, 2:53 pm Rispondi|Quota
  • #14buggo

    camillo dice:

    Mauro dice:
    Bug a parte… potevate evitare di metterci un articolo a sfondo politico come esempio (mi riferisco ovviamente all’immagine di Repubblica).

    ma scherzi? ….sara’ vecchio ma ogni scusa e buone per poter promuoversi…..senno’ che pagano a fare gli sponsor?

    Fosse vero almeno quello che dice… invece bisogna solo sperare che muoia…

    6 Set 2009, 7:15 pm Rispondi|Quota
  • #15buggo

    Fosse vero almeno quello che dice… invece bisogna solo sperare che muoia…

    6 Set 2009, 7:16 pm Rispondi|Quota
  • #16Razorblade

    Certo che questi grandi nomi con queste comuni falle non me li aspettavo..
    ‘Filter Input, Escape Output’ , i loro programmatori l’hanno mai sentita questa frase?

    6 Set 2009, 7:21 pm Rispondi|Quota
  • #17codesnippet

    Era una vulnerabilità nota.. non vedo dov’è la notizia.

    forum.infernet.ws/xss-repubblica-it-proof-of-concept-t-12055.html

    6 Set 2009, 8:47 pm Rispondi|Quota
  • #18nicola

    quando la notizia viene manovrata..

    l’ha scoperta Langy.. http://forum.infernet.ws/xss-repubblica-it-proof-of-concept-t-12055.html

    Il grande Langy.

    6 Set 2009, 9:41 pm Rispondi|Quota
  • #19V1R5

    http://forum.infernet.ws/meriti-demeriti-disinformazione-t-16011.html

    Caro Michele Laganà (Mister6339), ti prego di dare un occhiata, sarebbe il caso di informarsi un poco prima di pubblicare articoli.

    7 Set 2009, 12:01 am Rispondi|Quota
  • #20dario

    vergogna!!!, il bug è stato scoperto mesi fa da langy.

    7 Set 2009, 11:48 am Rispondi|Quota
  • #21mirkojax

    ok langy…, ma uno non puo’ esserci arrivato da solo?
    io tante volte ho scoperto delle cose da solo e poi ho scoperto che altri ci avevano pensato prima di me.

    9 Set 2009, 4:36 am Rispondi|Quota
  • #22V1R5

    mirkojax dice:

    ok langy…, ma uno non puo’ esserci arrivato da solo?
    io tante volte ho scoperto delle cose da solo e poi ho scoperto che altri ci avevano pensato prima di me.

    Tu però non ci hai scritto un articolo : D
    Quel che vogliamo far notare è come vengano pubblicate “notize” (?) senza prima documentarsi.

    Insomma, un lavoro fatto con i piedi.

    10 Set 2009, 7:02 pm Rispondi|Quota
  • #23RoCCo MuSOLIno

    questa vulnerabilità si conosceva da tempo… pff

    11 Apr 2010, 5:05 pm Rispondi|Quota
Trackbacks & Pingback
  1. Un Bug su Repubblica.it permette a chiunque di far visualizzare notizie false!
  2. » Ho scoperto una vulnerabilità xss sul sito de “il sole 24 ore” « Archivio Blog « webTorbe.it