Meetup.com : quand deux failles permettaient un détournement des paiements depuis Paypal !

Les vulnérabilités étaient sérieuses : selon les analyses sécuritaires de Checkmarx depuis Décembre 2019, la plate-forme évènementielle organisant des rencontres a essuyé des attaques de type cross-site scripting (XSS) et cross-site request forgery (CSRF). Ces dernières permettait un détournement ou une redirection des abonnements ou paiements liés aux services proposés par Meetup... depuis Paypal.

 

 

Au-delà de cette redirection, une élévation de privilèges pouvait être exploitable, en permettant de gérer, modifier un groupe au sein de Meetup voire, également, d'accéder aux informations personnelles qui en découlaient : "les fonctionnalités de discussion sont activées par défaut dans tous les Meetups, de sorte qu'un utilisateur peut publier un script [...] JavaScript sur l'ordinateur de l'utilisateur dès qu'il visitait la page Meetup. Dans ce cas, un utilisateur verrait une fenêtre contextuelle sur son ordinateur avec le numéro «1» [...] En enchaînant les vulnérabilités XSS et CSRF [...] nous avons pu passer d'un utilisateur Meetup régulier à un co-organisateur d'un événement Meetup, sans aucune autorisation ou permission" est-il expliqué, dans un billet de Checkmarx datant du 3 Août dernier.

L'équipe a obtenu un retour de Meetup le 6 Mars 2020 (la faille ayant été découverte en Décembre 2019...). Le 13 Mars dernier, certains ajustement ont dû être fait ou revus via des patchs additionnels avant une correction définitive, au 15 Juillet 2020. Selon le rapport, aucun exploit dans la nature n'aurait été observé... A veiller !

 

 

Source : Checkmarx - 3 Août 2020 - Meetup.com : redirection des paiements Paypal avec élevation de privilèges-comptes via l'exploitation d'une double-faille (XSS et CSRF).