IBM Flashsystem

TikTok แพตช์อุดช่องโหว่ XSS เพียงคลิกเดียวเข้ายึดบัญชีได้

TikTok ได้มอบรางวัลแก่ผู้ค้นพบช่องโหว่ XSS ผ่านแพลฟอตร์มหาบั๊กอย่าง HackerOne โดยร้ายแรงถึงขนาดว่าเหยื่อคลิกทีเดียวก็ถูกยึดบัญชีได้

credit : tiktok.com

ช่องโหว่มี 2 ส่วนคือ

  • ช่องโหว่ Cross-site Scripting (XSS) ในส่วนพารามิเตอร์ของ tiktok.com ซึ่งนำไปสู่การลอบรันโค้ดใน Browser Session ของเหยื่อได้
  • ช่องโหว่ Cross-Site Request Forgery (CSRF) พบบน Endpoint ที่หลอกให้เหยื่อทำการบางอย่างแทนได้

ด้วยเหตุนี้เอง Muhammed Taskiran หรือผู้ค้นพบช่องโหว่จึงได้สร้างสคิร์ปต์ผสานเอา 2 ช่องโหว่ไปใช้งาน CSRF พร้อมกับ inject ผ่านทางพารามิเตอร์ ซึ่งผลปรากฎว่าสามารถเข้ายึดบัญชีเหยื่อได้ทันทีเพียงคลิกเดียว และท้ายที่สุด tiktok ได้มอบผลตอบแทนไปราว 3,860 ดอลล่าร์สหรัฐฯ แล้ว รวมถึงอัปเดตแพตช์ไปตั้งแต่ปลายเดือนกันยายนที่ผ่านมา

ที่มา : https://www.zdnet.com/article/tiktok-patches-reflected-xss-bug-one-click-account-takeover-exploit/

About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

SYMPHONY CYBER SHIELD เปิดตัวโลโก้ใหม่ ยกระดับบริการความปลอดภัยทางไซเบอร์ สำหรับองค์กรยุคดิจิทัล [Guest Post]

บริษัท ซิมโฟนี่ คอมมูนิเคชั่น จำกัด (มหาชน) หรือ SYMPHONY COMMUNICATION ผู้นำด้านการให้บริการโครงข่ายที่มีคุณภาพสูงในประเทศไทยซึ่งครอบคลุมทั้งในและระหว่างประเทศ ได้เปิดตัวโลโก้ใหม่ “SYMPHONY CYBER SHIELD” เพื่อสะท้อนภาพลักษณ์ของบริการด้านความปลอดภัยทางไซเบอร์ (Cybersecurity) …

ASUS Armoury Crate มีช่องโหว่ให้ผู้โจมตียกสิทธิ์เป็น Windows Admin

ช่องโหว่ CVE-2025-3464 ความรุนแรงสูง 8.8 ในไดรเวอร์ AsIO3.sys บน ASUS Armoury Crate ทำให้ผู้โจมตีสามารถเข้าถึงระดับ SYSTEM ได้ผ่านการใช้ hard link