NoScript-XSS-waarschuwing

[choogen]

Bij het openen van de Tweakers's preview van Battlefield V geeft NoScript bij mij een waarschuwing.
preview: reviews: Battlefield V - Aan de slag met de War Stories


NoScript-XSS-waarschuwing

NoScript heeft een potentiële Cross-Site Scripting-aanval gedetecteerd van https://tweakers.net naar YouTube: YouTube.

Verdachte gegevens:

(URL) YouTube: Battlefield V - War Stories Gameplay{return-1<this.indexOf(e)}&enablejsapi=1&origin=https://tweakers.net&widgetid=1

Deze aanvraag blokkeren
Documentaanvragen van https://tweakers.net naar YouTube: YouTube altijd blokkeren
Deze aanvraag toestaan
Documentaanvragen van https://tweakers.net naar YouTube: YouTube altijd toestaan

[Voor 17% gewijzigd door choogen op 20-10-2018 10:10]

[Raven]

@crisp Blijkbaar ben ik niet de enige

@choogen Liep er zelf ook al tegen aan, zie Firefox-topic, Raven in "[Firefox] Wat vinden we ervan? - Deel vijftien" en verder.

[Voor 74% gewijzigd door Raven op 20-10-2018 10:34]

[crisp]

Tsja; voor zover wij kunnen beoordelen is dit een probleem van NoScript en geen bug aan onze kant...

[choogen]

@Raven
Ik gebruik inderdaad Firefox (en verder Windows 7).
Ik dacht eerst dat je misschien dit Firefox topic bedoelde: Firefox/NoScript XSS warning

[ACM]

crisp schreef op zaterdag 20 oktober 2018 @ 10:44:
Tsja; voor zover wij kunnen beoordelen is dit een probleem van NoScript en geen bug aan onze kant...

Op zich kan ik me best voorstellen dat zoiets gezien wordt als xss:

code:

https://www.youtube.com/embed/IA156CRLc4s?rel=0&contains=function(e)%7Breturn-1%3Cthis.indexOf(e)%7D&enablejsapi=1&origin=https%3A%2F%2Ftweakers.net&widgetid=1

Maarja, als Youtube dat graag in hun urls verwerkt, dan wordt het voor ons natuurlijk wel lastig daar wat aan te doen.

[Zeehond]

ACM schreef op zaterdag 20 oktober 2018 @ 21:45:
[...]

Op zich kan ik me best voorstellen dat zoiets gezien wordt als xss:

code:

https://www.youtube.com/embed/IA156CRLc4s?rel=0&contains=function(e)%7Breturn-1%3Cthis.indexOf(e)%7D&enablejsapi=1&origin=https%3A%2F%2Ftweakers.net&widgetid=1

Maarja, als Youtube dat graag in hun urls verwerkt, dan wordt het voor ons natuurlijk wel lastig daar wat aan te doen.

Heeft het stuk

code:

?rel=0&contains=function(e)%7Breturn-1%3Cthis.indexOf(e)%7D&enablejsapi=1&origin=https%3A%2F%2Ftweakers.net&widgetid=1

een specifieke functie wanneer de redactie op de FP een video embedded? ( inkomsten voor advertenties of zo?). Enkel

code:

https://www.youtube.com/embed/IA156CRLc4s

werkt namelijk ook prima als ik de rest via f12 eruit sloop op de FP.

[Voor 22% gewijzigd door Zeehond op 20-10-2018 22:19]

[crisp]

ACM schreef op zaterdag 20 oktober 2018 @ 21:45:
[...]

Op zich kan ik me best voorstellen dat zoiets gezien wordt als xss:

code:

https://www.youtube.com/embed/IA156CRLc4s?rel=0&contains=function(e)%7Breturn-1%3Cthis.indexOf(e)%7D&enablejsapi=1&origin=https%3A%2F%2Ftweakers.net&widgetid=1

Maarja, als Youtube dat graag in hun urls verwerkt, dan wordt het voor ons natuurlijk wel lastig daar wat aan te doen.

Dat lijkt wel verdacht veel op onze eigen Array.contains... Eens kijken of ik code kan vinden die die URL's manipuleert...

Edit: gevonden Wij geven een lege set playerVars mee als [] in plaats van {} en de code van YT gaat daar rucksigtloss met een for-in overheen en pikt daardoor onze Array.contains prototype functie mee. Ik heb een fix gemaakt om in alle gevallen een object mee te geven, ook als deze leeg is.

[Voor 19% gewijzigd door crisp op 20-10-2018 23:03]

[crisp]

Zeehond schreef op zaterdag 20 oktober 2018 @ 22:02:
[...]

Heeft het stuk

code:

?rel=0&contains=function(e)%7Breturn-1%3Cthis.indexOf(e)%7D&enablejsapi=1&origin=https%3A%2F%2Ftweakers.net&widgetid=1

een specifieke functie wanneer de redactie op de FP een video embedded? ( inkomsten voor advertenties of zo?). Enkel

code:

https://www.youtube.com/embed/IA156CRLc4s

werkt namelijk ook prima als ik de rest via f12 eruit sloop op de FP.

Wij gebruiken de JS API om onder andere statistieken via WebTrekk te kunnen verzamelen en eventuele opties mee te kunnen geven.

[Zeehond]

crisp schreef op zaterdag 20 oktober 2018 @ 23:05:
[...]

Wij gebruiken de JS API om onder andere statistieken via WebTrekk te kunnen verzamelen en eventuele opties mee te kunnen geven.

Ah daarvoor, bedankt voor info

[crisp]

@choogen ik heb zojuist een fix gedeployed die voorkomt dat het "contains=function()..."-deel in de embed-url terecht komt. Lost dat het probleem op voor je?

[Voor 5% gewijzigd door crisp op 20-10-2018 23:19]

[choogen]

crisp schreef op zaterdag 20 oktober 2018 @ 23:18:
@choogen ik heb zojuist een fix gedeployed die voorkomt dat het "contains=function()..."-deel in de embed-url terecht komt. Lost dat het probleem op voor je?

Yes, ik krijg geen XSS-waarschuwing meer. Chapeau!

[Raven]

crisp schreef op zaterdag 20 oktober 2018 @ 23:18:
@choogen ik heb zojuist een fix gedeployed die voorkomt dat het "contains=function()..."-deel in de embed-url terecht komt. Lost dat het probleem op voor je?

Hier zie ik bij eerdere probleemgevallen ook geen melding meer

[crisp]

Raven schreef op zondag 21 oktober 2018 @ 10:29:
[...]

Hier zie ik bij eerdere probleemgevallen ook geen melding meer

Top! Volhouden helpt