Click jacking in delete image of user in Yelp
该报告还没有中文解读。
原文摘录
摘自原文（7633 字符中的一小部分）
Hello, Problem I found that https://www.yelp.com/user_photos/{photo_id}/remove is vulnerable to click-jacking because of missing X-Frame-Options on this page which allows an attacker to send the victim the POC ( sent with the report ) to the user to remove his profile picture POC原文中的代码
<div id="container" style="clip-path:none;clip:auto;overflow:visible;position:absolute;left:0;top:0;width:100%;height:100%"> <input id="clickjack_focus" style="opacity:0;position:absolute;left:-5000px;"> <div id="clickjack_button" style="opacity: 1; transform-style: preserve-3d; text-align: center; …
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Yelp 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @mohamedsherif · 版权归作者与 Yelp 所有