Недавно зарепортил интересный недостаток, который достаточно высоко оценили с уровнем критичности high, но повысить impact получилось благодаря объединению двух low/medium недостатков.
На некотором ресурсе X есть возможность оставлять комментарий в формате Markdown с некоторыми html-тегами. «Опасные» теги, такие как <noscript>, <iframe>, <img> фильтруются. Однако была возможность использовать другие интересные теги.
1. Тег <form>. Первая мысль - создание поддельной формы логина. Уже неплохо, но выглядит немного странным наличие такой формы в комментах. Можно оценить в low/medium.
2. Тег <style>. Наводит на мысли о CSS injection. Если вы читали данный пост, то видели о возможности кражи данных HTML-страницы, например пользовательский ввод или csrf-токен. В моем случае не было ничего критичного.
Но была возможность изменять глобальные стили страницы с использование dangling markup, который позволял выходить за контекст стилей комментария.
Например, данный код сделал текст комментария красным, а текст родительской страницы синим

<div style="color:red">LOL
  <style>
    * {
      color: blue;
    }
  </style>

Использование этих двух тегов позволило оставлять в комментах форму логина, которая выглядела идентично той, что используется в системе, но при этом скрывать весь остальный контент на странице через стили. Получается такая фишинговая страница прямо на странице целевого сайта. Данный недостаток уже оценился в high и вырос в цене.

Окак

А отказаться можно?

Задумывались о сомах?

Same Origin Method Execution (SOME) — это класс уязвимостей веб-приложений, при которых злоумышленник через параметр обратного вызова (callback) вынуждает браузер жертвы выполнить произвольный JavaScript-метод в контексте доверенного домена.

Звучит знакомо? Да, очень похоже на эксплуатацию классического JSONP callback, когда злоумышленник передаёт в параметре callback произвольный JavaScript-код (например, `alert(document.cookie)`), который сервер возвращает и браузер выполняет в контексте страницы. Однако, что делать, когда некоторые веб-сайты ограничивают параметр обратного вызова JSONP? Например, разрешены только определенные символы, такие как a-zA-Z.

Существует еще одно понятие, называемое Same Origin Method Execution (иногда еще называют Universal Reverse ClickJacking). Идея заключается в том, что, хотя мы можем вызывать только функции, мы также можем исполнять методы на веб-сайте с тем же происхождением. Допустим, на странице есть кнопка, при нажатии на которую происходит какое-то действие. Вы можете использовать JavaScript код, чтобы щелкнуть ее:

document.body.firstElementChild.nextElementSibling.click

Поскольку символы в этом коде разрешены, вы можете поместить его внутри JSONP:

?callback=document.body.firstElementChild.nextElementSibling.click

И использовать JSONP для выполнения кода, как упоминалось ранее. Похожее на XSS, но с более узкими ограничениями: злоумышленник не может внедрить произвольный код, но может взаимодействовать с DOM (кликать кнопки, отправлять формы, вызывать существующие JS-функции).

Данная уязвимость использовалась для обхода CSP и установки вредоносного плагина в WordPress: https://octagon.net/blog/2022/05/29/bypass-csp-using-wordpress-by-abusing-same-origin-method-execution/

Расширение BurpSuite для обнаружения: https://github.com/PortSwigger/same-origin-method-execution

После стольких лет

Там shodan акк за 5$ можно взять

Первый день OFFZONE прошел неплохо

Совершенно неожиданно выиграл книгу от @study_security. Неожиданно и приятно :)
Благодарю! Придётся Будем развиваться.