hackerone-shopify-2020-08-n-854299
Self XSS in Timeline
Product의 Transfer에 코멘트를 남길 수 있었다. 이 곳에 URL을 쓰면 a 태그에 넣어 출력했다. javascript: 를 사용하여 XSS가 가능했다. 단, 일반적으로 써서는 가능하지 않았고, javascript: 댓글을 쓴 뒤에 이를 드래그하여 카피, 그리고 붙여넣기 하고 붙여넣은 코멘트를 등록하기 전에 클릭하면 되었다.
맥의 Safari와 iOS의 사파리에서 가능했다. 복사 할 때 a 태그까지 복사되고, 댓글에 쓰는 와중에 a 태그가 활성화된 것 같다.
tags: bughunting, shopify, xss, stored-xss, wstg-inpv-02, web hacking, severity none