Quote from: TryNinja on June 22, 2025, 06:14:59 PM

O que acontece se você bota um javascript malicioso tipo <script>alert("XSS")</script> no meio do post? Um site mal pensado poderia renderizar esse pedaço de texto como HTML e executar o javascript.

No meu caso eu trato todo o texto dos posts como inseguro e faço o escaping dos caracteres (nesse caso seria o < e />). Sem risco de XSS.

Exato, é no post que tentam inserir o código, que o site pode depois ler e gerar o problema.

É bom olhar sempre para os posts como uma porta de entrada de problemas, porque na realidade são, vão ser lidos e guardados na sua base de dados.

Quote from: TryNinja on Today at 03:55:21 AM

Então a CoinMarketCap usava esse CDNKIT para distribuir os arquivos de cada doodle, quando era preciso mostrar um. Um atacante, de alguma forma, conseguiu acessar os servidores desse terceiro e fez a modificação para injectar o javascript na página inicial do CMC.

Mas que serviços é esse cdnkit[.]io? O site nem esta a funcionar e não encontro nenhuma informação histórica sobre esse serviço.

Será que era um serviço de terceiros ou da própria CoinMarketCap?
Sinceramente, começo achar esta historia um pouco estranha, e um passar as culpas para terceiros.

Não coloco em causa o perigo do problema, nem como ele pode realmente ter acontecido. Mas, acho estranho as informações que chegam.

Alias, não quis deixar de investigar um pouco mais antes de fechar o post...

O domínio cdnkit[.]io foi registado no dia 20/06/2023: https://www.whois.com/whois/cdnkit.io
Isso foi no dia do ataque ou um dia antes do ataque. Pergunta:
Como é que a CoinMarketCap usava este "serviço" para distribuir o doodle, se ele não exisita? Huh