Android Market: XSS-Lücke geschlossen

Ein bisschen waren solche Probleme zu befürchten: Eine XSS-Lücke im webbasierten Android Market, erlaubte die Ausführung von JavaScript-Code im Beschreibungsfeld von Apps. XSS steht für Cross-Site Scripting. Die Lücke hätte ausgenutzt werden können, um einem eingeloggtem Nutzer über die Ferninstallation eine App zu installieren. Auf dem Zielgerät der Installation gibt es für den Nutzer dann nur einen Hinweis zur abgeschlossenen Installation. Vielleicht sollte Google hier zumindest vorher optional noch eine Nachfrage integrieren.

Der Entdecker der Sicherheitslücke hatte diese Google gemeldet und sie wurde zwischenzeitlich geschlossen. Über das Bug-Bounty-Programm von Google erhält er für die Meldung 1.337 US-Dollar.

via heise