Sicherheitlücke gefunden, was nun?

Ok, Bug wurde soeben an Mozilla reportet . Danke nochmal für alle Link usw.

Lg Mokki

Hab vor lauter in Urlaub fahren vergessen euch auf den neusten Stand zu bringen, sry.

Niko Ortner schrieb:

wie sieht's aus

Nich sehr gut. Es scheint so als sei das ganze nicht reproduzierbar. Obwohl ich es in einem neuen Profil getestet hab. War also sehr gut deinen Rat zu befolgen und es nur Mozilla gemeldet habt.

Niko Ortner schrieb:

Wenn sich dann rausstellt, dass es doch nicht so schlimm ist, hast Du nicht gleich 10 Unternehmen gleichzeitig an der Backe

Lg Mokki

Hät ich wohl machen sollen. Verschiede System, verschiedene Netzwerke etc....

Lg Mokki

Sodele ich hab es nicht geschafft herauszufinden warum sich das Ganze nur auf meinem Rechner so verhält... bei Tests in Safari ist mir aber aufgefallen, dass file:// mit allem same orgin ist. Es gibt auch andere Urlschemes bei dennen es sich ähnlich verhält. Ich dacht ich hät die Lück gefunden: Html Dok per Email -> Cookiestealer.... dies ist aber nicht der Fall. Sobald ich ein Htmldokument öffne was ich mir per Mail geschickt hatte funktionierte der Code nicht mehr. Am Speicherort liegt dies nich, wenn ich nämlich die Datei selber da hinkopiere funktioniert es einwandfrei....(falls sich jmd damit beschäftigen möchte).
Ich hab noch zwei andere Bugs im September gefunden, die ich heute reporten wollte, beim schreiben des Bugreports ist mir aber aufgefallen, dass man das Ganze auch als Feature sehen kann und ich hab die Bugs jetzt nicht reportet. Ich möchte erstmal eure Meinung dazu wissen:

1. Bug: öffnen von beliebig vielen Fenstern durch das tel: url scheme(Browser: Edge, Firefox). Code(ausm Kopf): <script>setInterval(function () {document.getElementById("1").src="tel:****";},1);</script><iframe id="1"></iframe>

2. Bug Popupblocker "bypass" (one-click-"exploit")(Browser: Firefox, Safari). Code(ausm Kopf): <button onclick="for (var i = 0;i < 100;i++) {window.open('','','width=100');}">trigger</button>
Damit wär sowas wie "Youareanidiot" wieder möglich.
Also sollte ich die noch reporten?


Werd ev in nen paar Stunden das Ganze noch update (mit dem echten Code etc) bin grad leider nur mobil unterwegs.

Lg Mokki

Ne ich hatte es auf nem Mac getestet...


Lg Mokki