На прошлой неделе состоялось открытие XSSposed — некоммерческого проекта, призванного заменить упраздненный xssed.org. Основное назначение преемника то же — открытый каталог широко распространенных уязвимостей типа ХSS, выявляемых на веб-сайтах и в доменах.

По замыслу авторов проекта XSSposed должен упростить процедуру публикации уязвимостей; новый сайт поддерживает популярные email-рассылки Full Disclosure. Для исследователей это дополнительный шанс подать отчет по защищенному каналу и получить заслуженное признание, для владельцев и администраторов сайтов — источник актуальной информации, помогающий повысить безопасность.

Отчеты об обнаруженных XSS-брешах, а также об iframe-инъекциях и открытых редиректах можно подавать анонимно (логи регулярно стираются), под ником или под собственным именем. XSSposed примет на рассмотрение любую уязвимость, с помощью которой можно воспроизвести на атакуемом сайте всплывающее окно с текстом XSSPOSED. После быстрой проверки по зеркальной копии уязвимого ресурса новая запись выкладывается в публичный доступ. Удаление архивных записей по политическим или финансовым соображениям, по словам разработчиков, исключено.

На сайте ведется рейтинг источников информации, коих у XSSposed пока 57. По состоянию на 2 июля в новом архиве числятся 376 записей по 254 уязвимым сайтам, и эти цифры быстро растут. Во избежание возможных злоупотреблений просмотры статуса конкретной уязвимости (закрыта или нет) на XSSposed ограничены одним запросом в сутки.

Категории: Уязвимости