Paradigm 研究員披露 X 存在嚴重漏洞！誤觸連結恐導致帳號遭劫持

2023/12/13 11:09

Paradigm 研究員 samczsun 在 X（原推特）上發文警告，目前 X 平台存在一個嚴重的漏洞，這使得駭客只要引誘用戶點擊一個連結，就能完全控制其帳號，並進行發文、轉推、點贊、封鎖等操作（但不能更改密碼）。

samczsun 建議，在官方解決此問題之前，請透過安裝 uBlock Origin 等外部擴充插件來保護自己免受影響。此外，samczsun 強調，習慣使用手機瀏覽器訪問 X 的人由於無法安裝擴充插件，因此最好改用 APP 訪問或暫時不要使用 X。

🚨🚨🚨

There is a critical bug in Twitter that allows hackers to gain full access to your account by simply clicking a link

They can tweet, retweet, like, block, etc, except change your password

Until it's fixed, protect yourself by installing uBlock Origin

h/t @shoucccc
— samczsun (@samczsun) December 13, 2023

2023/12/13 13:01 更新：

Paradigm 研究員 samczsun 表示，稍早通報的 X 平台安全漏洞已被修復，其分享關於該漏洞的技術摘要指出：「Twitter 子網域中的反射型 XSS（跨站腳本攻擊）和 CORS/CSP 繞過（bypass）允許作為本地經驗證的用戶進行對 Twitter API 的任意請求。」

✅✅✅

The bug has been fixed! Thanks again to @shoucccc for surfacing and credit to @rabbit_2333 for discovering

Technical Summary:
Reflected XSS in Twitter subdomain and CORS/CSP bypass allows for arbitrary requests to the Twitter API as locally authenticated user
— samczsun (@samczsun) December 13, 2023