PayPal vulnerable a CSRF (solucionado)

El investigador de seguridad egipcio, Yasser H. Ali, ha demostrado el hackeo a PayPal con un simple clic, aprovechando una vulnerabilidad crítica que podía haber puesto en peligro a 156 millones de clientes.

Este es el caso. Yasser H. Ali comunicó a PayPal la vulnerabilidad y la firma dedicada a comercio electrónico que permite la transferencia de dinero entre usuarios, ya la ha solucionado sin que ningún cliente haya sido afectado. Además, el investigador ha recibido un premio de 10.000 dólares, de lo más elevado que se paga por la detección de terceros de vulnerabilidades de este tipo.

La vulnerabilidad permitía ataques CSRF (Cross-Site Request Forgery) en la página https://www.paypal.com/eg/cgi-bin/webscr?cmd=_send-money, forzando al navegador de la víctima a enviar una petición a una aplicación web vulnerable. Con ello, se lograba el control total de una cuenta de usuario de PayPal, cambiar el sistema de pago, dirección de envío o correo electrónico.

PayPal fue la primera compañía de servicios financieros que implementó servicios de recompensas por encontrar vulnerabilidades. Una estrategia acertada como ha podido verse en este caso del que te mostramos el vídeo de demostración:

Fuente: Muy Seguridad