Skip to content

Kévin Dunglas

Founder of Les-Tilleuls.coop (worker-owned cooperative). Creator of API Platform, Mercure.rocks, Vulcain.rocks and of some Symfony components.

Menu
  • Talks
  • Resume
  • Sponsor me
  • Contact
Menu

Vulnérabilité critique dans MessengerFX

Posted on May 16, 2008October 6, 2008 by Kévin Dunglas

MessengerFX est un client populaire pour Windows Live Messenger (anciennement MSN Messenger) écrit en AJAX. Sa spécificité et de permettre de se connecter au réseau via un simple navigateur web.

En voulant coller du code HTML à Edouard, je me suis rendu compte qu’il était interprété par le navigateur. Faille de type XSS ? Effectivement ! Sauf que celle-ci n’est pas bénigne : en plus de pouvoir faire planter le navigateur de n’importe quel utilisateur du service, elle permet d’accéder à toutes les fonctionnalités implémentées par Messenger FX ce qui signifie entre autre : récupérer la liste de contact de l’utilisateur, envoyer des messages en son nom, supprimer, bloquer et débloquer des personnes de sa liste de contact et lui en ajouter, lire les messages, bref : de prendre le contrôle complet du compte MSN de la victime.

Faille de Cross Site Scripting dans MessengerFX

Pire, il est tout à fait possible d’écrire un vers en utilisant les fonctions d’envoi de message. Ce vers pourrait par exemple supprimer tous les contacts de toutes les personnes connectées à Messenger FX… voir faire tomber le réseau MSN dans son ensemble par une attaque de type DDOS.

J’ai envoyé un email au propriétaire du service qui reste à ce jour sans réponse. En attendant une correction, simple comme un htmlspecialchars(), abstenez-vous d’utiliser Messenger FX et préférez-y Meebo ou le client officiel de Microsoft version web !

Edit du 6 octobre 2008 : la faille semble maintenant corrigée.

Related posts:

  1. La faille de sécurité touchant MessengerFX semble corrigée
  2. MessengerFX allows your contacts to take control over your WLM
  3. MessengerFX’s security problem corrected
  4. Mon comparatif Ubuntu / Windows.

5 thoughts on “Vulnérabilité critique dans MessengerFX”

  1. Rahim says:
    May 16, 2008 at 10:07 pm

    Bien !

    M’enfin, meebo avait (a ?) le même problème…

    Reply
  2. pidgin says:
    May 17, 2008 at 12:03 pm

    Thanks ! XSS Worm is for soon.
    For all noobs, try pidgin.
    http://www.pidgin.im/

    Reply
  3. Pingback: La faille de sécurité touchant dans MessengerFX semble corrigée - Un développeur freelance à Lille
  4. abdel says:
    March 9, 2009 at 8:39 am

    slt sa va

    Reply
  5. Pingback: sexy costumes

Leave a Reply to abdel Cancel reply

Follow me on Twitter

My Tweets

Subscribe to this blog

Recent Posts

  • Securely Access Private Git Repositories and Composer Packages in Docker Builds
  • Goroutines, threads, and thread IDs
  • New in Caddy 2.5: Redact Sensitive Data from Your Logs
  • Building Decentralized Web Apps with Solid and PHP
  • JSON Columns and Doctrine DBAL 3 Upgrade

Top Posts & Pages

  • Securely Access Private Git Repositories and Composer Packages in Docker Builds
  • JSON Columns and Doctrine DBAL 3 Upgrade
  • Using Next.js and Material UI Together
  • Goroutines, threads, and thread IDs
  • Generate a Symfony password hash from the command line
  • Symfony's New Native Docker Support (Symfony World)
  • The Mercure.rocks Hub is now based on Caddy Web Server
  • Using the "103 Early Hints" Status Code in Go Applications
  • Introducing Edge Side APIs (#APIPlatformCon Keynote)
  • Building Decentralized Web Apps with Solid and PHP

Persistence in PHP with the Doctrine ORM

Persistence in PHP with the Doctrine ORM

Tags

Apache API API Platform Buzz Caddy Design Docker Doctrine Go Google HTTP/2 Hydra hypermedia Hébergement Javascript JSON-LD Kubernetes La Coopérative des Tilleuls Les-Tilleuls.coop Lille Linux Mac Mercure Messagerie Instantanée MySQL PHP Punk Rock Python React REST Rock'n'Roll RSS Schema.org Security SEO SEO Symfony Symfony Live Sécurité Ubuntu Web 2.0 Wordpress XHTML XML XSS

Archives

Categories

  • DevOps (25)
  • Mercure (3)
  • Opinions (91)
  • Programming (180)
    • Android (5)
    • Go (12)
    • JavaScript (43)
    • PHP (138)
      • API Platform (60)
      • Symfony (89)
    • Python (14)
      • Django (5)
  • Security (15)
  • SEO (24)
  • Talks (37)
  • Ubuntu (68)
  • Wordpress (6)

Blogoliste

  • API Platform
  • Les-Tilleuls.coop
  • Mercure.rocks
  • Vulcain.rocks
© 2022 Kévin Dunglas | Powered by Minimalist Blog WordPress Theme