XSS in $shop$.myshopify.com/admin/ via "Button Objects" in malicious app
该报告还没有中文解读。
原文摘录
摘自原文（4425 字符中的一小部分）
This report is similar in impact, exploitability and root-cause as report #205701 requiring an additional step of user-interaction.
原文中的代码
clickButton = function(_, data) {
if ((data.loading || "undefined" == typeof data.loading && "app" === data.target) && Shopify.Loading.start(), href = data.href) {
switch (data.target) {
case "parent":
case "shopify":
Page.visit(href, {
reload: true
}); …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Shopify 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @bored-engineer · 版权归作者与 Shopify 所有