Živě.cz hacknuto pomocí XSS

Cituji autora:
[quote]Podařilo se mi získat uživatelská hesla k administračnímu rozhraní webzinu Živě.cz, které slouží ke správě článku, diskusí, anket a dalších věcí. K celému útoku jsem použil pouze XSS zranitelností nacházejících se na dvou místech. [/quote]

Stručné shrnutí:

Útočníkovi se podařilo pomocí XSS (Cross-site scripting) zjistit uživatelská jména pro administrátorské rozhraní. Hesla k účtům byla uložena v plaintextu, takže mohl zjistit přihlašovací informace jakéhokoliv oprávněného uživatele.
Nakonec vložil na titulní stranu Živě.cz článek s postupem, jak popsané informace získal.

Obrázek titulní stránky s článkem:

Aktualizace 9:30: ze serveru Žive.cz byl odstraněn obsah a zůstává pouze titulek
Aktualizace 12:00: ze serveru Žive.cz byl příspěvek odstraněn úplně
Aktualizace 19:37: reakce redakce Živě

Link na zdroj byl odstraněn na žádost Shai Magal (JaFi)