Seit fasst eine Woche war die CSS-Lücke im Paypal-Portal bekannt, bis sie jetzt endlich geschlossen wurde. Insgesamt wusste der Zahlungsdienstleister schon zwei Wochen lang davon. Üblicherweise reagieren Unternehmen in ähnlichen Situationen innerhalb eines Tages.
Die Schwachstelle hatte der deutsche Schüler Robert Kugler, der sie eigentlich über das vor einem Jahr gestartete Belohungsprogramm (Bug Bounty Program) an Paypal melden wollte.
Da ihm das Unternehmen die Teilnahme jedoch verweigerte, weil er das achtzehnte Lebensjahr noch nicht erreicht hatte, veröffentlichte er die Details zu seinem Fund auf der öffentlich zugänglichen Security-Mailingliste Full Disclosure.
Er räumte PayPal allerdings noch eine Schonfrist von einer Woche ein, die das Unternehmen ungenutzt verstreichen ließ…
