OpenSea исправляет серьезную уязвимость, которая могла привести к утечке ваших личных данных

[BOMBERuss]

Imperva, которая занимается IT-безопасностью, нашли дыру в безопасности NFT маркетплейса OpenSea, которые позволяли получить идентификаторы пользователей маркетплейса и деанонимизировать их путем использования атаки XS-Leaks.
Использование данной уязвимости было довольно простое и используется межсайтовый поиск:

1. Хакер отправляет жертве ссылку через мессенджер или E-mail;
2. Жертва переходит по этой ссылке;
3. Хакер получает IP, user-agent, версию ПО и всю информацию об устройстве жертвы;
4. Далее межсайтовым поиском (XS-Search) получают имена NFT жертвы;
5. После этого связывает имена NFT или адрес публичного кошелька с почтой или номером телефона жертвы.

Проблема не критична, но она лишает пользователей маркетплейса анонимности.
Уязвимость появилась в результате не верной настройки iFrame-resize и при ее использовании не было ограничения обмена данными. Скорее всего при использовании движка для поиска по сайту ElasticSearch.

Данная уязвимость уже устранена маркетплейсом OpenSea,

Источник: https://www.imperva.com/blog/deanonymizing-opensea-nft-owners-via-xs-leaks-vulnerability/

 

[Василий]

Это очередное напоминание о том, что даже крупные и уважаемые компании могут иметь уязвимости в своих продуктах, которые могут стать объектом атак со стороны злоумышленников. OpenSea - один из наиболее популярных NFT маркетплейсов в мире, и тот факт, что такой крупный игрок имел уязвимость в своей безопасности, вызывает определенную озабоченность.