<script>alert(1)</script>のお求めはAmazon CDストア - Qiita

本記事は脆弱性"&'<<>\ Advent Calendar 2015の15日目の記事です。 11/18にAmazonがリリースしたAmazon Musicというサービスに関連するXSSを2つ発見・報告したのでそのお話です。 1. Amazon MusicにあったXSS このページから "><_><script>alert(document.domain)</script>と検索すると alertが出ました。 画面右側のペイン内にて、aタグのhref attribute内に検索クエリを出力している箇所にあるバグに起因しています。この文字列は本来何らかの処理を通じてエスケープされていたのですが、適当に<hoge>のような文字列を一つ挟むとaタグのhref attributeから漏れて出力されていました。 11/19に発見・報告し、11/26に修正されました。 何故かAmazonのセキュリティ

[takuwz]

“@shinkbr2015年12月16日に更新編集履歴編集リクエスト一覧いいねしたユーザ一覧Markdown で本文を見る問題がある投稿を報告する<script>alert(1)</script>のお求めは”

[kwy]

“Amazonにもバグバウンティ制度があればと思いました。”

[hycon]

jjencode、万能だ

[t_f_m]

"結論・所感 Amazonにもバグバウンティ制度があればと思いました。"

[UDONCHAN]

すごい

[wh11e7rue]

jjencodeにこんな使い道が…

[noonworks]

“"High Alert Status"というレーベルの"Degree of the Streets Vol 1 [Explicit]"というアルバムの"Script Ta Unscripted" という楽曲が奇跡的に存在した”

[yasuharu519]

脆弱性

[side_tana]

""High Alert Status"というレーベルの"Degree of the Streets Vol 1 [Explicit]"というアルバムの"Script Ta Unscripted" という楽曲が奇跡的に存在した おかげでうまくいきました。" おもしろい

[k-holy]

“"High Alert Status"というレーベルの"Degree of the Streets Vol 1 [Explicit]"というアルバムの"Script Ta Unscripted" という楽曲が奇跡的に存在した おかげでうまくいきました”ｱﾊﾊﾊ

[azumaon]

脆弱性 - <script>alert(1)</script>のお求めはAmazon CDストア - Qiita お仕事のために…φ(..)メモメモ

[digitalglm]

脆弱性 - のお求めはAmazon CDストア - Qiita: 本記事は 脆弱性"&'

[GENS]

賞金はAmazonギフト券支払になりそうだな

[teracy_junk]

『"High Alert Status"というレーベルの"Degree of the Streets Vol 1 [Explicit]"というアルバムの"Script Ta Unscripted" という楽曲が奇跡的に存在した』

[vvakame]

jjencodeの存在を知ってて、試したというの、徳を感じる

[nekoruri]

jjencodeの実用化事例だ……

[dmutaguchi]

“"High Alert Status"というレーベルの"Degree of the Streets Vol 1 [Explicit]"というアルバムの"Script Ta Unscripted" という楽曲が奇跡的に存在した”