Flash-Dateien welche mit Tools wie z.B. Adobe Dreamweaver, Adobe Acrobat Connect (damals Macromedia Breeze), InfoSoft FusionCharts und Techsmith Camtasia erzeugt wurden, sind anfällig für Cross-Site-Scripting Attacken. Die mit diesen Programmen erstellten SWF-Dateien, welche auf zahlreichen Websites zu finden sind und unter anderem auch von prominenten Sites und auch von Banken verwendet werden, sind davon betroffen.

Das Problem liegt an der fehlerhaften Einbettung von JavaScript-Code in den SWF Dateien, mit welchen sich bestimmte Funktionen steuern lassen.

Der Action-Script Code wird jedes mal beim Speichern oder Exportieren einer SWF Datei automatisch mit in die SWF Datei eingefügt. Der Code lässt sich missbrauchen, um ein als Argument übergebenes JavaScript im Kontext der besuchten Seite auszuführen, obwohl der eingeschleuste Code nicht von dieser Seite stammt, sondern von einer vom Angreifer bereitgestellten Seite.

Siehe dazu auch:

XSS Vulnerabilities in Common Shockwave Flash Files, Bericht von Rich Cannings