[Перевод] $500 за DOM-Based XSS на странице вакансий HackerOne
Исследователь безопасности обнаружил DOM-based XSS уязвимость на странице вакансий HackerOne, за что получил вознаграждение в размере $500. Проблема заключалась в том, как страница обрабатывала “?lever-” параметры в URL и добавляла их в DOM, без должной проверки и очистки.
Хотя эта атака не могла обойти Политику Безопасности Контента (CSP) в современных браузерах, таких как Chrome и Firefox, она всё же успешно выполнялась в Internet Explorer и Microsoft Edge, где парсинг URL работает иначе.
Читать далееИсточник: Хабрахабр
Похожие новости
- Цифровой фронтир: Почему малому бизнесу пора вспомнить опыт Napster
- gost-curl — консольный HTTP-клиент с поддержкой ГОСТ TLS 1.3
- Я год не писал код руками. Но я не вайбкодер — и это две разные профессии
- Треоко. Космос: Космическая викторина - на старт!
- Карты, деньги, облака
- Искусство Инфобеза, часть 2: NGFW, базовый минимум
- Как незаметная indirect-зависимость в Go дописала ручку в ваш HTTP-сервер
- Spark_news: Т-Банк и Colizeum запускают первый в России кэшбэк игровым временем и другие активности для геймеров
- Как научить ИИ-ассистента писать тесты и моделировать угрозы безопасности в процессе кодинга
- Аналитики: начинающие предприниматели чаще выбирают онлайн-торговлю