Používáte webové rozhraní k mailové schránce? A klikáte v něm na odkazy?

Dnes jsem se díval na refererové statistiky a objevil jsem, že se na tyto stránky dostal někdo odkazem z nějakého mailu. Zkrátka pan A poslal panu B mailem odkaz na mou stránku a pan B na ten odkaz kliknul. A v tu chvíli si tu adresu, ze které bylo odkázáno, zapamatoval Blox. Nedalo mi to, podíval jsem na tu refererovou adresu a nestačil jsem se divit!

Ta adresa obsahovala řetězec ve tvaru XYZ4GE7FAD45SOEBN58 a ejhle — ona to byla asi nějaká identifikační informace. Octnul jsem se totiž na jisté české stránce (nebudu zatím jmenovat) a byl jsem přihlášený uživatel webmailu. Mohl jsem změnit heslo, mohl jsem se hrabat ve složkách, mohl jsem cokoliv...

Poslal jsem adminům zprávu a doufám, že to co nejdříve opraví. Jejich případné vyjádření samosebou zveřejním.

Proto pozor! Pokud používáte webové klienty mailů (nebo si je dokonce píšete sami), nezapomeňte na nebezpečí, které v sobě nese právě Referer a buďte před kliknutím na odkaz opatrní. Programátoři takovýchto aplikací by měli s tímto nebezpečím počítat a veškeré autentizační informace předávat raději v session nebo (když už) tak pomocí POST.