Dzisiaj, po jakimś czasie spędzonym przy HTML, wydawało mi się że odkryłem nowy błąd w ThunderBird (v. 3.0.4).
Przygotowałem następujący kod HTML:
<form action="http://some.server.com/hcp/" method="get"> <input type="text" name="u_firstname" value="test"/ size="25%" /> </form>
I wysłałem do siebie jako HTML używając właśnie ThunderBird-a. Kiedy otworzyłem tego maila, zobaczyłem zwykłą formatkę input z tekstem ‘test’. Nic nadzwyczajnego, ale w momencie, gdy kliknąłem/najechałem kursorem myszy na pole ‘text’ zostałem natychmiast przekierowany na ‘some.server.com’. Dziwna sprawa tym bardziej, że nie klikałem żadnego submit/send, których nawet nie byłow tym kodzie :) Fajna sprawa jeśli chcesz kogoś wmanipulować do odwiedzenia nieporządanej (złośliwej :) ) strony ]:-> Zobaczcie na ten kod:
<form action="http://evil.server.com" method="get"> Your password will expire within next <b>1</b> day. Please update your profile by visiting following link:<input type="text" value="http://google.com"/ size="25%" onmouseover="this.style.cursor='pointer';"/> </form>
Zobaczycie w mailu głupią wiadomość o wygaśnięciu hasła i coś, co wygląda, jak link. Jak na to kliniesz … to już wiesz co się stanie. Wart wspomnieć, że żadne dane nie są transferowane przy takim przekierowaniu (zapomnijcie o GET/POST).
Miałem zamiar to gdzieś opublikować, tzn zgłosić ;) ale najpier wypadało się upewnić, że nie odkrywam koła na nowo. No cóż, ktoś to już jednak zrobił za mnie i nawet opublikował na mozilli. Link do bugzilli:
https://bugzilla.mozilla.org/show_bug.cgi?id=542325
No i macie – półroczny błąd, odkryty na nowo. Badum, tssss.
