Пришла беда откуда не ждали, уязвимость XSS в сервисе Яндекс.Метрика

[EminH]

То есть пытались взолмать вас, а взломали метрику?

[Dimones]

Именно! Даже не сказать что взломали ведь ничего страшного не произошло, но осадочек остался)

[EminH]

ОК, Яндекс то XSS на метрике закрыл, а на mynstu.me будете проблему решать?
там то точно XSS как минимум, а может что и похуже
(я в личку писал еще вчера, никакой реакции)

[Dimones]

Да, я видел ваше сообщение. Дело в том что сервис не работает. Думаю сегодня я его совсем отключу. А за находку, большое спасибо!

[Homakov]

Стоп серьезно такую очевидную XSS тотально из юзер инпута заметили в метрике только сейчас? Может регрессия какая.

[Dimones]

Возможно. Я думаю что это все связано с редизайном метрики. Ребята из Яндекса мне не рассказали почему раньше не заметили)

[oxdef]

Спасибо автору за то, что предварительно сообщил нам об обнаруженной проблеме. Благодаря этому мы смогли наградить его в рамках «Охоты за ошибками». Пишите нам в таких случаях.

[UdarEC]

Интересно, почему под FF на yandex.ru/bugbounty

ошибка ssl сертификата

Secure Connection Failed
The connection to the server was reset while the page was loading.

The page you are trying to view cannot be shown because the authenticity of the received data could not be verified.
Please contact the website owners to inform them of this problem.

UPD. Как давно TLS 1.2 считается устаревшей?

[oxdef]

Напишите, пожалуйста, подробности на feedback2.yandex.ru/bugbounty
Заранее спасибо!

[UdarEC]

Просто хотел узнать, у меня одного в Firefox не открывается yandex.ru/bugbounty?

[Core2Duo]

Chrome 43.0.2357.134 m, не открывается, ERR_EMPTY_RESPONSE

[Quber]

тоже самое

[Dimones]

Здравствуйте, возможно какие-то проблемы у провайдера, все же сервер расположен на мощностях университета.

[Dimones]

Это информация если что то у меня работать не будет. Спросонья немного в контексте не понял о чем именно речь.

[UdarEC]

На данный момент все работает нормально.

[Dimones]

Стоп. А как меня наградили?

[Dimones]

Ложная тревога. Все дали. Простите.

[NetherNN]

Простите за любопытство, Вам правда что-то дали (перечислили)? А то я уже давненько жду и тишина…

[oxdef]

Напишите, пожалуйста, в feedback2.yandex.ru/bugbounty — разберёмся. Не забудьте указать номер тикета (репорта).

[MaximChistov]

А какая сумма, если не секрет?

[guyfawkes]

Хм, а политика в отношении «90 дней тишины» изменилась?

[oxdef]

Это необходимо для перестраховки, что всё успели исправить к моменту публикации. В данном случае проблема уже исправлена.