Probably unexploitable XSS via Header Injection
该报告还没有中文解读。
原文摘录
摘自原文（1645 字符中的一小部分）
Summary: The `Who-Platform` header is reflected in the output of the page if it's not one of the recognized `Who-Platform` values (IOS, ANDROID, WEB). While this is probably no longer exploitable (as of ~2015), it may be exploitable on less well implemented browsers (not Chrome/Firefox/Edge). In …
原文中的代码
POST /WhoService/getCaseStats HTTP/1.1 Host: hackerone.whocoronavirus.org Who-Client-ID: ██████ Who-Platform: test1<script>alert(1)</script> Content-Length: 0
默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 WHO COVID-19 Mobile App 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @d0nut · 版权归作者与 WHO COVID-19 Mobile App 所有