Joymax
Joymax hat es mal wieder geschafft viele Spieler zu gefährden! Und mal wieder ist es das Joymax.com Portal, welches einen Fehler aufweist der zu massenhaft Accountplünderungen geführt hat, wobei hier allerdings auch die Dummheit mancher Spieler eine Rolle spielt.
Betroffen ist der neue E-Mail Service von Joymax, den ich am Anfang noch zu einem Schritt nach vorne angesehen habe. Das man mit einem kleinen Trick die Nachrichten der Spieler lesen kann, wusste ich am Anfang nur leider noch nicht. Bedauerlicherweise vertrauen viele Spieler diesem E-Mail Service so sehr, dass sie auch ihre Accountdaten (ID und Passwort) in ihre Nachrichten/Anfragen schreiben.
E-Mail Service Postfach
Rev6 hat heute diese Mitteilung veröffentlicht:
New Joymax Website exploit:
http://supportcp.joymax.com/demo/mail/exMailBoardAll.jsp
DO NOT SEND SUPPORT MESSAGE THAT HAVE ACCOUNT NAME AND PASSWORD TO JOYMAX!!!
All the post are public and if you look at rev6 forum, the exploit was found like this: Pict1, Pict2. Basically if you send them a message using your account that has a premium, you can from there browse from their website to the admin mailbox without any password with only 3 mouse clicks. Enter any username and password you want, they are all valid…
They better fix it soon, I don’t even want to contact Joymax knowing that everyone can view everything…
This is another huge FAILED! for Joymax -_-
Credit goes to _TANGUITO_ for posting it on rev6 forum.Joymax NEED to fix it as soon as possible before another exploit come out of it (sql injection, cross site scripting exploit etc…)
Man muss also nur auf die E-Mail Service Seite gehen und dort oben rechts auf “Home” klicken. Anschließend wühlt man sich einwenig durch koreanische Seiteninhalte und voila: Man kann alle Nachrichten einsehen und man hat sogar eine Suchfunktion um direkt nach Logindaten zu suchen.
Merkt euch also: Schreibt niemals eure Logindaten in die Nachrichten an den E-Mail Service von Joymax!