HackerOneのレポート読む⑩ - 明日は明日の風が吹く

今回はこちら

タイトルは

HTML Injection & Content Spoofing

とあるページの検索画面で<h1>test</h1>

を入力すると、レンダリングされて出てきてしまうらしい…

また、偽のログインページを用意したものが証拠として提示されていました。

実際にこれを使ってフィッシングが可能ということですね

あれ、でもこれ、

入力完了するとID/PWが攻撃者に送られるっていうけどどこに送る機構があるんだろ？？

※追記　あ、form actionってとこにありました

こちらは250ドルの報奨金が支払われてます

ちなみに、このあとレポート上でちょっとした小競り合いがあるんですが、

これって脆弱性の分類的にはどれになるんでしょう？

実際の脅威を説明しているところでは、HTML injectionなのですが、、、

※追記　他の方の指摘で、とある穴をつけばJavaScriptが動かせるとなってます　つまりは

XSSの脆弱性ではないか？と

これで言えばレポートとしてもLowではなくHighになり得ると、たしかに…

うーん、結構難しい話じゃないですかね…

結局、この話の大筋だったHTML injectionを採用させてくれ、この話は他でしてくれということで落ち着きました

1レポート1脆弱性の原則ですね

以上！