Chyba ve Firefoxu vystavuje přihlašovací údaje (diskuse)

[DabelS]

Týká se to všech verzí Firefoxe?

[Filip Jirsák]

Nejspíš ano, protože se týká obecně způsobu, jakým FF zachází s údaji z PasswordManageru – vyplňuje je do formuláře v určité doméně, ale už nekontroluje, kam je nastaveno odesílání formuláře. Pokud tedy někdo má možnost vložit na původní doménu HTML kód (třeba do diskuze, wiki apod.) s formulářem odkazujícím na svůj server, PasswordManager "předvyplní" údaje do jeho formuláře.

Stejnou chybou údajně (dle BugZilly) trpí i MSIE.

[Filip Jirsák]

Pokud tedy někdo má možnost vložit na původní doménu HTML kód (třeba do diskuze, wiki apod.) s formulářem odkazujícím na svůj server

Nemusí to být je možnost někam vložit HTML kód s formulářem, to jde ošetřit (třeba nepovolit vkládat tagy form, input atd.), ale může jít o vkládání celých stránek – např. uživatelské stránky na adrese http://www.example.com/~user mohou ukrást heslo z domény www.example.com (např. tedy na VŠ login do školního intranetu nebo informačního systému).

[Jiří (BoodOk) Kadeřávek]

Řešení je jednoduché, CTRL + SHIFT + DEL a všechna zapamatovaná hesla odstranit. Pamatujete si je?

[Michal Kubeček]

Řešením je pamatování si hesel vůbec nezapínat (nebo vypnout hned po instalaci, už si nepamatuji, co je default).

[Jiří (BoodOk) Kadeřávek]

Nevím jestli to lze vypnout globálně (asi ano), ale u každého hesla se to ještě navíc ptá. Takže dávat 'Nepamatovat nikdy'.

[petr_p]

Libi se mi, jak vyplnuje hesla Opera. Cely proces vyplneni a odeslani hesla dela UI prohlizece ve sve rezii bez pouziti kodu prihlasovaci stranky.

Tim lze elegantne zabranit takovym vecem, jako je odesilani hesel pres AJAX nebo zmena action cile formulare onsubmit udalosti. Neresi to sice problem, o kterem je tahle chyba (na to staci dost prisna kontrola URL zdroje a cile), ale obecne je to dobry zpusob, jak ukocirovat dynamicke stranky.