Эскалация влияния: Полный захват учетной записи Microsoft через XSS в процессе аутентификации

[Rastishka]

Ничего удивительного, Микрософт в своём стиле.
Мне он коды 2FA запрашивает в приложении 2FA и присылает в него же.

Кстати какой смысл выбирать 1 из 3 двузначных чисел???

[Wolfdp]

В теории вас могут мониторить на предмет входа в учётку, и в этот момент послать запрос на авторизацию со своей стороны. Т.е. вы тыкнули "вход", хакер знающий ваш пароль тоже тыкнул вход. В приложении высветилось последнее для хакера, но там нет нужного числа.