In https://www.bleepingcomputer.com/news/security/phishing-campaign-uses-upscom-xss-vuln-to-distribute-malware/ wordt een voorbeeld van een XSS (Cross Site Scripting) aanval beschreven, ontdekt door Daniel Gallagher. Ik probeer deze aanval (en het nut van NoScript) ook voor minder ervaren lezers uit te leggen. Bij deze aanval ontvangen potentiële slachtoffers een e-mail zogenaamd van UPS.com over een te ontvangen postpakket. De e-mail ontvanger wordt verzocht op een link te klikken, die begint met https://www.ups.com/dropoff/invoice?id= gevolgd door (de gebruikelijke) wartaal. De link verwijst dus daadwerkelijk naar www.ups.com, dus echt van UPS. Echter, verderop in die link -uit de e-mail dus- zit (grotendeels geobfusceerd) Javascript code. Als je op die link klikte, werd die Javascript code uitgevoerd "in de context van www.ups.com", d.w.z. als ware deze afkomstig van www.ups.com. Dat www.ups.com dit niet blokkeerde was een fout van de websitebouwer: je hoort hier maatregelen tegen te nemen (naar ...