Вопрос Rainbow Six Siege - Эксплойт с картинками в никнейме и деанон через IP

[hex_cat]

Кто-то уже тестил этот прикол с именами в R6S?

Наткнулся на интересную тему у буржуев. Короче, народ сейчас массово ставит себе в профиль Юбиков ники с HTML-тегами типа . Суть в том, что когда этот "гений" заходит в катку, у всех в лобби вместо его никнейма подгружается картинка.

Но самое смешное, что это не просто визуальный баг. Эта фича тянет картинку с внешнего сервера, а значит, как только чел в катке загружает твой профиль или просто видит этот "ник", его IP летит прямо к злоумышленнику.

Меня больше всего удивляет, как они обходят проверку ввода (name check). Юбики же вроде должны были пофиксить такие дыры сто лет назад, а тут челы регают акки прямо сейчас и всё работает. Похоже, у разрабов опять руки из одного места, раз позволяют инжектить код прямо в системные поля.

1. Вектор атаки: Инъекция HTML через поле ника.
2. Последствия: Деанон по IP и возможные проблемы с безопасностью, если там еще какие-то редиректы прикрутят.
3. Статус: Уязвимость актуальна прямо сейчас, так что если увидите чела с картинкой в нике — лучше сразу ливайте или сидите через VPN.

В общем, классический Юбисофт. Вместо нормального античита они оставляют дыры, через которые школьники могут сливать IP всего лобби. Кто-то копал в сторону того, как именно они обходят валидацию? Или это просто старый движок, который хавает любой тег, если его правильно оформить?

Обсуждаем, кто еще видел таких уникумов в игре.