Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Message d'alerte XSS à la connexion

Clhiver

Coucou à tous et un grand bravo pour le site et le forum, bien s^ur !
J'ai souvent un problème quand j'essaie de me connecter à mon compte : je reçois un message d'alerte du type "Problème XSS de cross-site scripting..." . Je voulais simplement savoir de quoi il s'agissait. Merci pour vos réponses;

xabilon

Salut

Des messages d'erreur bizarres, on en a eu, mais celui-ci jamais...
Quel navigateur utilises-tu ? Apparemment il détecterait une faille de sécurité, mais on dirait que tu es le seul à détecter ça...

Clhiver

Salut Xabilon,
J'utilise Xubuntu 1304 avec Tor Bundle Browser et Firefox. Il me semble que TBB active également No Script, HTTPS Evrywhere et d'autres...
Le message d'alerte XSS est lancé par no Script.
En pratique, je dois souvent faire deux tentatives pour me connecter.

Clhiver

Salut,
Pour être plus précise, j'obtiens le message suivant :

No script a détecté une tentative de script entre sites (Cross-site scripting, XSS) de [http://ubuntu-fr.org]. Les détails techniques sont inscrits dans la console.

xabilon

Et tu peux donner ces "détails techniques" ?

Clhiver

Salut,
Aujourd'hui, j'ai pas eu ce problème, mais je me suis connecté depuis un autre ordi. J'essaierai de me connecter avec l'autre et de copier ces fameux détails techniques...

Clhiver

Salut Xabilon, Je te donne une copie des messages de la console :

Failed to load native module at path '/home/lionel/Bureau/tor-browser_fr/App/Firefox/components/libmozgnome.so': (80004005) /home/lionel/Bureau/tor-browser_fr/App/Firefox/components/libmozgnome.so: Ne peut ouvrir le fichier d'objet partagé: Aucun fichier ou dossier de ce type
Failed to load native module at path '/home/lionel/Bureau/tor-browser_fr/App/Firefox/components/libnkgnomevfs.so': (80004005) /home/lionel/Bureau/tor-browser_fr/App/Firefox/components/libnkgnomevfs.so: Ne peut ouvrir le fichier d'objet partagé: Aucun fichier ou dossier de ce type
Could not read chrome manifest 'jar:file:///home/lionel/Bureau/tor-browser_fr/Data/profile/extensions/langpack-fr@firefox.mozilla.org.xpi!/chrome/fr.manifest'.
[NoScript XSS] Nettoyé chargement (upload) suspicieux de [http://forum.ubuntu-fr.org/login.php?action=in] depuis [http://ubuntu-fr.org/] : transformé en une simple requête de téléchargement GET.

Qu'en penses-tu ?

xabilon

J'en pense que NoScript doit être dans le coup. De mon côté je n'ai pas accès au serveur et logs du forum (j'ai transmis aux admins concernés), mais login.php est le script normal de connexion au forum.
Le code est ici, c'est le script fluxBB standard

Clhiver

Salut Xabilon,
Effectivement, j'utilise No script pour éviter toute mauvaise surprise... Le problème c'est qu'il se lance automatiquement, mais c'est fait exprès ! L'essentiel c'est qu'il n'y ait aucun risque ni pour moi, ni pour Ubuntu-fr :cool: