Yandex.Money में पैसिव XSS

Yandex, पैसा, दो चड्डी XSS

कहानी ऐसी ही है। एक साइट पर मैंने समाचार देखा कि मिस्टर फ्रीमैन की साइट अपडेट हो गई थी, मैंने जांच करने का फैसला किया।

मैं उसके पास गया और वहां एक Yandex.Money दान क्षेत्र देखा। अनुभवी पटकथा की पुरानी आदत के अनुसार, dddi अपूर्णता में डाल दिया
[स्क्रिप्ट] अलर्ट ("") [/ script] और क्लिक करके भेजें:



मुझे Yandex.Money में स्थानांतरित कर दिया गया था, और निम्न चित्र मेरे सामने आया:



"कूल!" - मैंने सोचा, और हैबे पर यह सवाल बनाया। फिर उन्होंने यैंडेक्स को लिखा। मनी को सपोर्ट सर्विस और यैंडेक्स से संबंधित एक हेब्रायुज़र।

खैर, मैंने इस अवसर से निपटने के लिए जारी रखने का फैसला किया।

जिस क्षेत्र में स्क्रिप्ट लिखी गई थी, उसे फ़िल्टर करके सुरक्षित किया गया था, इसलिए टेक्स्ट अलर्ट को छोड़कर सभी स्क्रिप्ट्स को URL कोड में एनकोड करना होगा, अन्यथा उन्हें निष्पादित नहीं किया जाएगा। जो मैंने इस साइट पर किया था।

वैसे, इस समय मुझे यैंडेक्स समर्थन से एक प्रतिक्रिया मिली, इस सामग्री के बारे में: "सब कुछ क्रम में है, मैंने अभी फ़ायरफ़ॉक्स में चेक किया है, कोई जाम नहीं है।"

"कूल!" मैंने फिर से सोचा, और एक एन्कोडेड स्क्रिप्ट निष्पादित की, जिसने मेरी कुकीज़ जारी की:



उसके बाद, मैंने तीन ब्राउज़रों के स्क्रीनशॉट के साथ समर्थन के लिए एक और पत्र भेजा जहां अलर्ट निष्पादित किया जाता है।

फिर उसने स्निफर में पंजीकृत किया, स्क्रिप्ट को एन्कोड किया, स्क्रिप्ट निष्पादित की गई - कुकीज़ आ गई।
और लगभग आधे घंटे के बाद उन्होंने भेद्यता को कवर किया। समर्थन ने अभी तक मुझे जवाब नहीं दिया है।

ऐसी बातें।

UPD: मुझे भेद्यता के सुधार की पुष्टि के समर्थन से एक पत्र मिला।