Responder com citação
Essa vulnerabilidade ainda não foi muito noticiada, porque os caras ainda não disponibilizaram o toolkit (jájá acontece). Mas fiquei surpreso com a iniciativa imediata do pessoal do NoScript, já tapando o buraco... muito bom mesmo esse addon.
Para quem não sabe, a vulnerabilidade afeta somente sites HTTPS mal implementados. Para testar se o site HTTPS está vulnerável ao cookie hijacking, basta testar se o site irá logar mesmo se os cookies para conexões seguras forem apagados, se logar é porque tem a flaha. Fora a listinha dos caras, já encontrei alguns BR também com a "falha". Ainda não testei nos bancos, se alguém se dispor...
Cheers.
Caio Rossi
Originalmente enviado por caiorossi
