security report 2013

Google

- blogger エディタでXSS

- iOSアプリで

suumo.jp

- XSS IPA経由

j-magazine.ne.jp

- XSS IPA経由

wordpress

- swfupload 修正不備の件

yahoo.com

- yahoo mailで使われているYUIコンポーネントのswfでXSS可能

octopress

- swf起因

flowplayer

- swfのXSS, webサイトのXSS

ハフィントンポスト日本語版

- ソーシャルボタンとjquery起因のXSS

dotclear

- swfupload起因

Gallery3 uploadify.swf

- OSS, swfupload起因

革命機ヴァルヴレイヴ

- ハッシュ起因の外部サイトロード

fout.jp

- ウェブサイトのXSS

movable type

- tinymce起因のXSS

アークウェブ、AForm利用サイトでのXSS

- Selenium起因、test-runnerで任意js実行可能

helpandmanual.com

- XSS

QNAP

- webサイトのXSS, helpandmanual使用

- NAS管理画面、swf起因のXSS、認証なしでもアクセス可能

アダルトサイト多数

- swf起因、IPA経由で報告

doorkeeper

- CSRFで強制参加 + メールアドレス収集可能

cybozu

- いくつか。JSONP sandbox実装不備

exciteブログ

- ユーザーブログ側でXSS, 表示ドメインから認証cookie取得可能, IPA経由