O que acontece se você bota um javascript malicioso tipo <script>alert("XSS")</script> no meio do post? Um site mal pensado poderia renderizar esse pedaço de texto como HTML e executar o javascript.
No meu caso eu trato todo o texto dos posts como inseguro e faço o escaping dos caracteres (nesse caso seria o < e />). Sem risco de XSS.
Exato, é no post que tentam inserir o código, que o site pode depois ler e gerar o problema.
É bom olhar sempre para os posts como uma porta de entrada de problemas, porque na realidade são, vão ser lidos e guardados na sua base de dados.
Então a CoinMarketCap usava esse CDNKIT para distribuir os arquivos de cada doodle, quando era preciso mostrar um. Um atacante, de alguma forma, conseguiu acessar os servidores desse terceiro e fez a modificação para injectar o javascript na página inicial do CMC.
Mas que serviços é esse cdnkit[.]io? O site nem esta a funcionar e não encontro nenhuma informação histórica sobre esse serviço.
Será que era um serviço de terceiros ou da própria CoinMarketCap?
Sinceramente, começo achar esta historia um pouco estranha, e um passar as culpas para terceiros.
Não coloco em causa o perigo do problema, nem como ele pode realmente ter acontecido. Mas, acho estranho as informações que chegam.
Alias, não quis deixar de investigar um pouco mais antes de fechar o post...
O domínio cdnkit[.]io foi registado no dia 20/06/2023:
https://www.whois.com/whois/cdnkit.ioIsso foi no dia do ataque ou um dia antes do ataque. Pergunta:
Como é que a CoinMarketCap usava este "serviço" para distribuir o doodle, se ele não exisita?
