Đang tải bảng tin…
InfoSec Write-ups0 Hot0 bình luận10 phút đọc
Chaining a DOM XSS Sink, WAF Bypass, Cross-Origin Smuggling, and SDK Abuse into One Click Account Takeover
A detailed bug bounty writeup describing a four-vulnerability chain that achieves one-click account takeover. The chain combines: (1) a DOM XSS sink in a React error page that passes an unvalidated backURL query parameter to window.location.assign; (2) an Akamai WAF bypass using bracket-notation property access (top["setTimeout"]) to avoid keyword-paren adjacency detection; (3) window.name cross-origin smuggling to deliver the payload without it ever appearing in the inspected URL; and (4) abuse of a first-party authentication SDK that exposes methods returning signed JWTs and live AWS STS credentials to any executing JavaScript. The result: nine webhook hits in 8 seconds, yielding full session metadata, a signed RS256 JWT containing PII, and temporary credentials for two separate AWS accounts. Key takeaways include modeling WAF rules structurally rather than brute-forcing variants, the persistent cross-origin nature of window.name, and how global auth SDKs dramatically escalate XSS severity beyond simple cookie theft.
Nguồn: https://infosecwriteups.com/chaining-a-dom-xss-sink-waf-bypass-cross-origin-smuggling-and-sdk-abuse-into-one-click-account-6c1a7095f8e1. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
InfoWorld84 Hot1 phútAI
ECMAScript 2026 specification approved
ECMA International vừa phê duyệt ECMAScript 2026 (ES2026) vào ngày 30/6, phiên bản thứ 17 của đặc tả JavaScript. Bản cập nhật bổ sung nhiều tính năng mới như Math.sumPrecise, Iterator.concat, Array.fromAsync, Error.isError, phương thức mới cho Map/WeakMap, hỗ trợ chuyển đổi Uint8Array sang hex/base64, cùng cải tiến cho JSON.parse và JSON.stringify.
Lập trình viên nên đọc bài này vì ECMAScript 2026 mang đến những tính năng mới như Array.fromAsync và JSON.rawJSON, giúp cải thiện hiệu suất và tính linh hoạt trong xử lý dữ liệu đồng bộ/không đồng bộ và định dạng JSON trong các dự án hiện đại.
