Wie veröffentlich man Sicherheitslücken?

ach nicht?
hier nochmals....... tut mir leid, dass ich nicht mit nem Orchester und nem Riesenscheck auftauchen kann
wie gesagt, es ist Wochenende, und in den meisten Berufen ist es numal so, dass das WE frei ist..... btw: ich darf morgen malochen
.
.
.

 

Ich bin der Meinung, man sollte erst den Betroffenen informieren. Und zwar nicht öffentlich.

Meiner Erfahrung nach passiert bei der PCWELT übers Wochenende nicht all zu viel. Vielleicht hat sich das ja inzwischen geändert.
Aber wenn es irgendwas Gravierendes ist, gäbe es sicher Möglichkeiten, einen Verantwortlichen zu erreichen.

Ich surfe ja grundsätzlich ohne Scripte und erlaube die nur in Ausnahmefällen, von daher juckt es mich eher nicht.

 

Lässt sich das Problem vielleicht auf die reale (im sinne vom Computerlose) welt übertragen?

Beispiel:

Vermutlich geht die richtige vorgehensweise in richtung von 3. und 4., jedoch weis ich nicht, ob man sowohl seine vergütung sicherstellen als auch rechtlich auf der sicheren seite sein kann. Fällt jemanden eine andere Möglichkeit ein?

 

er hat ja nun seinen Ansprechpartner gefunden.... und die Redaktion wird sich ggf bei ihm melden....

 

Das reicht leider nicht! Von der Lücke sind alle betroffen, Scripte hin oder her! Das macht nochmal gut deutlich wie eklatant die Sache ist!

 

Inwiefern?
Wie außer mit Scripten sollte mir persönlich Schadcode untergejubelt werden?
(daß alle anderen in der Regel völlig ungesichert durchs Netz surfen, ist mir bewußt, aber wurscht)

 

Es gibt hunderte Sicherheitslücken mit denen man dich durch XSS kompromittieren könnte. Ein Angreifer kann ein Flash Objekt einbinden und dich über deinen Flashplayer hacken. Oder ein PNG Bild und deinen Browser direkt hijacken. Oder oder oder....
Eine der vielen Sicherheitslücken die in all unseren Programmen stecken. Nicht aus Spass zahlt Google für gefundene Bugs im Chrome Browser.
Das sind alles keine Scripte und dennoch kannst du über XSS gehackt werden.

 

Flash lass ich natürlich erst Recht nicht zu. Schon gar nicht von fremden Seiten.
Wenn in Bildern Code versteckt werden kann, vertraue ich auf die fast täglich reinschneienden Browser-updates.

Nur mal zum Verständnis von XSS: Man kann derzeit als Außenstehender auf dem Server von PCWELT fremde Inhalte in bestehende Seiten einbauen?

 

Exakt! Egal welcher Art. Javascript, Java, Flash, Bilder, Musik, Videos, VisualBasic, ActiveX und noch sachen von denen auch ich nichts weis

 

nicht auf dem pcw-server. aber man kann den browser dazu bringen, inhalte, die von anderen servern stammen nachzuladen, so als wären sie vom pcw-server.