Helyesbítés: a poszt készültekor még nem voltam Facebook felhasználó, így tévesen azt feltételeztem, hogy az apps.facebook.com domainen elérhető szolgáltatások is a közösségi oldal infrastruktúrájához tartoznak, miközben ezeken a helyeken valójában mindig külső szervereket látunk.

Úgy tűnik m1key legutóbb jó helyen tapogatózott, a Security-Shell bloggerei ugyanis már legalább szeptember óta piszkálják a Facebook adatbázisait az alkalmazások számára fenntartott aldomainen keresztül. Ma is több SQL injectionre és reflektív XSS-re alkalmas hibát tettek közzé. Azt persze nem tudni, hogy ezúttal is csak egy honeypot figyelt-e a túloldalon, minden esetre felhívtam a kollegák figyelmét a csapdákra.