Bug no Orkut: É possivel editar fotos de outras pessoas

LoL
:)
O Orkut como sempre dando alegria aos que gostam de fazer baderna, já permitiu que tivesse como ver album com cadeado no orkut e como ver scraps bloqueados , estava eu lá quietinho comendo meu Ruffles e ouvindo música quando resolvi dar uma olhada em meu album e percebi que as fotos estavam deletadas.
Como de costume pensei, lá vem o Orkut com outra cagada, sendo frequentador assiduo da comunidade Bugs83 fui lá dar uma olhada e vi que estavam comentando sobre um tal bug de editar albuns alheios, fui no album e quais eram os dois recursos 'mais novos' para album?
- Editar Album
- Organizar album
Ou coisa assim kkk fui ali conferir e meu album ta apagado de novo kkk, e não tem mais os botões
Então eu fui lá e pensei se o Orkut for tão tosco é só mudar o UID e já era, mudei e deu que eu não poderia executar aquela ação, lendo o tópico vi que era preciso adicionar "&full=1" no finalda URL então assim o fiz e voilá deu certo kk
Daí eu escrevi um scriptzinho em Javascript para tal ação:

javascript:location=location.href.replace(/AlbumZoom/,'EditPhotos')+'&full=1';

Para usar você deve estar em alguma Foto do album da pessoa e acomselho que esteja usando o navegador Internet Explorer:



E executar o codigo: javascript:location=location.href.replace(/AlbumZoom/,'EditPhotos')+'&full=1'; na barra de endereços do seu navegador



Agora é só editar a legenda ou selecionar para excluir e submeter o formulário



ps: até agora que eu estou escrevendo o post está funcionando, na hora que você ler eu já não sei :)

XSS descoberto por Diogok e JavaScript escrito (e testado somente no Firefox kkk) por Igor Thiago

Ahh, pra que tem medo de executar o JS em seu navegador você pode fazer na mão mesmo :)
Exemplo:

http://www.orkut.com/AlbumZoom.aspx?uid={NUMERO_DO_UID_AQUI}&pid=12083164 04567&aid={NUMERO_DO_AID_AQUI}

ou

http://www.orkut.com/Album.aspx?uid={NUMERO_DO_UID_AQUI} &aid={NUMERO_DO_AID_AQUI}

Você pega esses dois conjuntos de números o UID e o AID e monta na url

http://www.orkut.com/EditPhotos.aspx? uid={NUMERO_DO_UID_AQUI}&aid={NUMERO_DO_UID_AQUI}&full=1


Nem ia escrever, mas como estavam apagando minhas postagens no Orkut sobre, pega eu no meu blog então! kkk


Update: bug corrigido :)