Quote from: mikel_012 on June 21, 2025, 08:12:37 PM

Me enviaram esse link em um grupo que participo

Quote

⚠️JavaScript Injection via Lottie JSON
We successfully reproduced a JavaScript injection vulnerability that exploits Lottie animation JSON files.
The "CoinMarketClap doodle" incident demonstrates this attack vector.

Fonte: https://x.com/coinspect/status/1936231159320453579/photo/1

Devem ter conseguido inserir esse código dentro da animação da imagem do logo do coin market cap. Ou algum projeto conseguiu inserir isso em uma imagem e que apareceu na pagina inicial de alguma forma

Fui mais a fundo e encontrei a vulnerabilidade, reportada ainda em 2022. Tongue

https://github.com/airbnb/lottie-web/issues/2828

Quote

What did you do? Please explain the steps you took before you encountered the problem.
I created a lottie file with an expression inside of it. I edited the expression to contain the following code, to expose an XSS vulnerability within lottie-web:

Code:

}]; alert(\"Arbitrary evil XSS code.\");[function _expression_function(){

Dá pra executar qualquer javascript, extremamente perigoso. Quando programo meus sites eu sempre fico super atento a isso, já aconteceu até de um usuário testar/tentar um XSS no ninjastic.space, só que claro que estava previamente prevenido. Grin

A questão agora é como eles conseguiram inserir esse código na imagem, igual o @joker_josue falou. Provavelmente algum servidor de imagens foi invadido e eles conseguiram alterar?