反映XSS和基于DOM的XSS错误网络研究人员$ 3,000和5,000美元的Bug Bounties

Google Cloud中的XSS漏洞，Google Play可能会导致帐户劫持

Google Cloud，DevSite和Google Play中的一对漏洞可能使攻击者能够实现跨站脚本（XSS）攻击，打开劫持劫持的大门。

第一个漏洞是反映XSSGoogle Devsite中的错误。攻击者控制的链接可以在Origins上运行JavaScript http://cloud.google.com和http://develovelers.google.com，这意味着恶意演员可以阅读并修改其内容，绕过旁路相同的原始政策。

发现这两个漏洞的研究人员的“ ndevtk”写道：“由于服务器端实现的漏洞URL的一部分被反映为HTML，因此可以使用404页的该组件在起源上获得XSS。”


阅读有关最新网络安全漏洞的更多信息beplay体育能用吗


第二个漏洞是基于DOM的XSS在Google Play上。基于DOM的XSS漏洞通常会在JavaScript从攻击者控制源（例如URL）中获取数据时会出现eval（）或者Innerhtml。

这使攻击者能够执行恶意JavaScript，这通常允许他们劫持其他用户的帐户。

研究人员告诉每日swbeplay2018官网ig如果不使用攻击者提供的URL，他们“不认为不认为相同的服务器响应”将发送给其他用户。

他们写道：“在搜索导致错误时，在[Google Play控制台脆弱代码的搜索页面上运行。

“出错很简单/？搜索=＆因为窗口。 -location包括从未编码的哈希'可以逃脱HREF上下文并设置其他HTML属性。与DevSite不同XSS这是由CSP但仍然被小组授予更多奖励。”

赏金

这位研究人员为Dev Site发行赚了3,133.70美元，在Google Play中为漏洞赚了5,000美元。

讲话每日swbeplay2018官网ig，他们说他们“对赏金感到满意”。


不要错过OnFido Bug Bounty计划启动以帮助Shore ID验证防御