XSS на prom.ua

💡 Усі статті, обговорення, новини — в одному місці. Приєднуйтесь до GameDev спільноти!

Мною была обнаружена XSS на портале prom.ua, tiu.ru и deal.by, и я пообщался по этому поводу с разработчиком и тестировщиком этого портала, Алексеем Мальцевым и Иваном Портным. Попросил баунти в размере 200 у.е., в замен на репорт. Естественно никакой предоплаты, все после проверки репортов. Алексей попросил репорт, и потом начал откровенно лгать, что XSS вообще не существует. И о чудо, сегодня ее действительно пофиксили, а меня отправили в игнор.

Если это будет интересно, вот репорт — www.sendspace.com/file/sgu4hp

Почтовая переписка pastie.org/...​te/amy6uxif5uvgvgsjkazeww

В репорте упоминается уязвимый сайт на площадке prom.ua — k2-cs1376712.tiu.ru — я его успел зарепортить на xssposed.org — www.xssposed.org/incidents/72322 — что служит просто доказательством существующей уязвимости до сегодняшнего утра.

Я так понимаю, что поиск багов такого плана у Алексея в должностных обязанностях, он просто не захотел краснеть перед руководством, и решил умолчать. А может не умолчать, а выбить себе премию у руководства? Если такое баунти противоречит правилам компании, достаточно было бы просто благодарности. С моей точки зрения — отдел тестировщиков тратит в месяц намного больше денег себе на з\п и прочий софт для тестирования, чем я попросил.