Критическая уязвимость goldvoice.club

Привет, нация!

Крайне рекомендую срочно изменить ключи всем, кто использовал goldvoice.club

Сегодня, в рамках тестирования безопасности сайта golos.io наш сотрудник @format-x22 обнаружил некритическую уязвимость, приводящую к появлению белого экрана при открытии поста, в теле которого содержится код
<IMG onmouseover="alert('xxs')">

Данная уязвимость была устранена в рамках задачи 1644, код исправления можно посмотреть здесь

Однако гораздо большую угрозу для пользователей голоса представляет критическая уязвимость на сайте goldvoice.club, с помощью которой можно выполнить javascript код на стороне клиента (в браузере пользователя), и тем самым получить доступ к приватным данным, например таким как приватные ключи пользователей.
Подобная уязвимость позволяет злоумышленнику получить доступ к средствам скомпрометированного аккаунта, и вывести средства.

Эксплуатация следующая.

В заголовок поста можно вставить следующую конструкцию.

<img src=x onerror="SOME JS CODE">

Весь код находящийся в теле onerror выполняется без каких либо проверок. Как долго данная уязвимость присутствовала на сайте goldvoice.club неизвестно.

На данный момент сайт https://goldvoice.club/ отключен владельцем, для поиска других уязвимостей.