Cross-Site-Scripting-Lücke bei PayPal entdeckt

Wie etwa Heise.de berichtet, hat der 17-Jährige deutsche Schüler Robert Kugler eine kritische Sicherheitslücke im PayPal-Dienst gefunden. Ursprünglich wollte Kugler die Lücke im Rahmen von PayPals ' Bug-Bounty-Programm' melden, doch nachdem PayPal dem Schüler seine ihm zustehende Belohnung nicht zahlen wollte, da Kugler noch nicht das 18. Lebensjahr vollendet hat, entschied sich der Schüler dafür, die Lücke zu veröffentlichen.

Konkret hat Kugler herausgefunden, dass die PayPal-Server durch die Suchanfrage eingeschleusten JavaScript-Code nur unzureichend oder gar nicht herausfiltern und ausführen.

Derzeit scheint PayPal den Fehler behoben zu haben. Bei einem Test konnten wir keinen Code über das Suchfeld ausführen.