Yahoo arregló un fallo XSS en su aplicación de correo electrónico a inicios de esta semana, pero aparentemente no resolvió el problema.
Investigadores en seguridad dijeron que el parche lanzado por Yahoo a inicios de esta semana para corregir una vulnerabilidad no arregló el problema, dejando a los usuarios en riesgo.
El error en scripting encontrado por Shanin Ramezany, que lleva el sobrenombre de Abyssec, puede permitir que un atacante recolecte una cookie de la víctima de su cuenta de Yahoo si la persona llega a hacer click en el link malicioso.
La vulnerabilidad fue parchada por Yahoo el lunes, pero la compañía de pruebas de penetración Offensive Security y Ramezany dijeron que el parche no arregló el problema.
“Con tan poca modificación al código original escrito por Abyssec, es aún posible explotar la vulnerabilidad de Yahoo, permitiendo al atacante tomar control de la cuenta de la víctima”, dijo el oficial en su blog.
Un portavoz de Yahoo no hizo un comentario inmediato cuando se le contactó el miércoles.
Offensive Security tiene un video que muestra cómo funciona el ataque pero deja afuera los detalles que permitirían a otros atacantes replicarlo. La compañía dice que los filtros XSS dan poca defensa a un ataque, y alertó a las personas de los links que reciben.