Хабрахабр, один из крупнейших социальных сайтов Рунета, подвергся дефейсу.
Ошибка движка заключалась в отсутствии фильтрации тега iframe, который можно было использовать в теге img. Любой желающий мог запостить в блог такую конструкцию:
<img src="http://lurkmore.ru/images/1/13/Nigra1.jpg" iframe src="/1" onload="try{Vote Post(34418,'down','2');}catch(e){}"sty le='position:absolute;width:1px;he ight:1px;left:-50px;top:-50px;'...>
Таким образом ниже этого поста на странице ничего видно не будет, каждый авторизованный пользователь будет автоматически голосовать за него, а при попадании поста в топ на главную страницу она будет так же отображать только вставленное изображение (в данном случае фотографию "Черного властелина"). Обсуждение этого процесса можно найти тут.
