Loi des séries quand tu nous tiens... En ce moment, la loi des séries tient Paypal. Après une vulnérabilité XSS récemment découverte qui permettait de dérober des fonds, vulnérabilité découverte par un informaticien égyptien, BitDefender a découvert une vulnérabilité XSS dans PayPal, qui pouvait permettre à des attaquants d‘uploader des fichiers malveillants pour réaliser des attaques visant des clients PayPal.

Cette fois, la vulnérabilité ne concerne pas directement les transactions PayPal ou les données du client, mais peut être utilisée de façon à diffuser du contenu ou des fichiers malveillants aux utilisateurs, ce qui peut permettre la mise en place d’un large éventail d'attaques pouvant s’avérer encore plus dangereuses, indique BitDefender dans un billet de blog.

La vulnérabilité, que Paypal a désormais corrigée, se situait dans la façon dont étaient chiffrées les URL qui vont chercher des fichiers uploadés.

Dans le billet de blog cité plus haut, BitDefender détaille une preuve de concept, qui ne fonctionne que sur Firefox, et qui montre comment un fichier XML au format HTML uploadé via la rubrique 'Créer une facture', peut ensuite attaquer les URL de fichiers downloadés depuis Paypal.

Un attaquant pouvait ainsi bidouiller des URL Paypal afin que ses victimes téléchargent un fichier malveillant ou soient redirigés vers des pages Web malveillantes.

Selon BitDefender, cette vulnérabilité n'a jamais été exploitée.