eBay已修复一个此前鲜为人知的安全漏洞，该漏洞可能被攻击者利用以接管用户账户。
（图片来源：Virus：Finchen 通过 Shutterstock）
据Kaspersky博客及ThreatPost报道，攻击者可利用跨站脚本（XSS）漏洞窃取用户会话Cookie，进而接管账户。该漏洞位于eBay某域名上，目前该公司已将其移除并完成修复。
漏洞发现者Aditya Sood指出，攻击者只需向用户发送包含恶意子域名的邮件或消息即可触发漏洞。“当用户浏览页面时，攻击者可通过发送集成脚本（即XSS有效载荷）的特殊URL来利用此缺陷。”Sood已于今年6月向eBay通报此事，平台于8月完成修复。
XSS漏洞早在去年就已发现
据eCommerceBytes援引BBC去年秋季的报道，eBay英国站点曾存在类似的XSS漏洞。其根源在于平台允许发布JavaScript、Flash、链接、视频和图片等“活跃内容”。尽管被告知潜在风险，eBay当时拒绝移除此类内容，认为相关安全风险较低且仅在极少数情况下被利用，现有内容对用户的益处大于风险。