网守卫证明没有匹配UXSS攻击
Apple iCloud和Safari 15中的安全漏洞可能使攻击者能够损害MACOS网络摄像头，然后再进行受害者的在线帐户。beplay体育能用吗
独立安全研究人员瑞安·皮克伦（Ryan Pickren跨站脚本（UXSS）利用和总共四个缺陷。
UXSS所有区域
虽然相机黑客需要用户互动，但成功妥协的潜在影响令人震惊。
“虽然此错误确实要求受害者点击我网站上的弹出窗口上的'打开'，但它不仅会导致多媒体许可劫持，” Pickren在A中说beplay体育能用吗技术文章。
他补充说，该漏洞利用使攻击者完全访问受害者访问过的每个网站。beplay体育能用吗这意味着除了打开相机外，我的错误还可以破解您的iCloud，Paypal，Facebook，Gmail等。”
有关的Safari 15中的相同原始违规脆弱性可能会泄露用户的网站历史和身份beplay体育能用吗
这研究员展示了一种情况，受害者同意查看包含PNG图像的文件夹和一个隐藏的网络结构文件，该文件将代码注入ICLoud.com，以剥落其iOS相机滚动。beplay体育能用吗
一个纸（PDF）由Google Project Zero发布，已经描述了UXSS错误，该错误可能会损害多个在线帐户，因为它们可以利用浏览器漏洞，“几乎与远程代码执行（RCE）使用SandBox Escape相当有价值”。
“微妙但有影响力”
作为建议由作者渗透测试应用程序Metasploit在2013年，Pickren使用网络结构文件作为UXSS的特洛伊木马。beplay体育能用吗
Safari替代HTML用于保存本地网站的替代方法，Webarchive文件指定beplay体育能用吗了应在其中渲染内容的Web Origin。
Pickren通过批准的应用程序Safari间接打开文件，从而直接打开文件的用户对用户开放了MacOS Gatekeeper的beplay体育能用吗块。研究人员发现.url快捷方式菲力型将启动苹果浏览器并指示浏览器打开文件。
ShareBear中的“一个微妙但有影响力的设计缺陷”是一个通过iCloud共享文件的后端应用程序，意味着攻击者可以在与受害者共享并下载后，可以用恶意文件秘密地将良性文件与恶意文件交换。
受害人不会收到此文件交换的通知。
Pickren说：“从本质上讲，受害者已允许攻击者在其机器上种植多态性文件，并允许随时远程启动它。”
研究人员在成功地对Safari V14.1.1进行了类似的技巧后，塑造了漏洞利用，但很快就会发现Beta Safari V15由于无关的代码重构而无意中不知所措。
他还设法通过规避沙盒限制，以及发掘出弹出式旁路和iframe沙盒逃脱来窃取本地文件。
修复
Pickren在2021年7月向Apple报告了这些错误。最近在Macos Monterey中解决了这些错误，这导致ShareBear现在揭示（而不是启动）文件，并防止WebKit在Safari 15中打开隔离文件15。beplay体育能用吗
$ 100,000的奖励矮人，$ 75,000的付款派对人在2020年透露的一键单击JavaScript到Webbeplay体育能用吗cam访问利用这在iPhone，iPad和MacOS上起作用。
Pickren很快就重新引起了他对Apple网络摄像头的兴趣，并再次通过Safari beplay体育能用吗Bug Chanch折衷于iOS和MacOS摄像机。利用Skype的相机许可。
