Invitation token leaks to https://bat.bing.com
该报告还没有中文解读。
原文摘录
摘自原文（2872 字符中的一小部分）
Invitation page contains iframes that points to https://b5s.hackerone-ext-content.com/#!/invitations/<invitation token> and https://a4l.hackerone-ext-content.com/#!/invitations/<invitation token>. A *GET* request to these endpoints executes a script that points to `https://bat.bing.com/bat.js`. The …
原文中的代码
<!DOCTYPE html>
<html>
<head></head>
<body style="background-color: transparent">
<script>
(function(w,d,t,r,u){var f,n,i;w[u]=w[u]||[],f=function(){var o={ti:"5295042"};o.q=w[u],w[u]=new …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 HackerOne 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @zuriel · 版权归作者与 HackerOne 所有