#Paypal #Stored-xss

[dekeeu]

Title: Paypal Stored xss

Affected Product: Paypal

Date: 27.08.2013

Severity: High

Status: DUP.

POC:

Edited August 28, 2013 by dekeeu

[akkiliON]

OFF:NaNaNaNaNaNa

ON: Congrats

[Byte-ul]

Ai gresit data

[malsploit]

Ai gresit data

Data viitoare evita off-topicul. Puteai sa-i trimiti un mesaj privat si rezolva problema!

[Darkb0t]

CONGRATS TOSHIB4

AS YOU THINK THEY GIVE YOU REWARD?

MY REWARD FOR 2 XSS PerfectMoney WILL BE IN THE $ 1000

PAYPAL MUST ENFORCE MORE THAN PM

[1337]

Fa alt mail si trimite-le vulnerabilitatea de acolo.O sa-ti zica ca nu e duplicate.

Poate sa confirme si un membru de pe forum chestia asta.

Edited August 28, 2013 by 1337

[io.kent]

Sa le dau la Muie, jegosi sunt, oamenii astia, le trebuie facuta o buba dar adanca asa sar invata minte..

[Nytro]

Faceti-le disclosure la alea duplicate.

Mai exact, nu cred ca le ia lor 2 ani sa repare un XSS. Deci de multe ori nu cred ca e vorba de vreun duplicat. Ameninta ca il faci public, vezi macar ce zic.

[malsploit]

O sa iau un domeniu si un host, cu banii de la paypal, si o sa public tot ce zic ei ca e duplicat. Cine mai vrea poate sa mai contribuie cu poc-uri. Pana pe vineri, sambata sper sa fie gata platforma.

[TheTime]

Ok, ca sa intaresc putin ceea ce a spus Nytro, cred ca singura modalitate de a-i forta sa va valideze bugurile este sa ii speriati putin.

Vad ca ai reusit sa pui acolo o poza cu nyang cat, poate altul ar fi fost impactul daca ai fi pus acolo un iframe catre o copie html a paginii lor de login si un alert pe onclick cu un mesaj de genu' "Wait! Don't login, this is scam webpage on your domain and can be exploited because of that fu*kin' XSS!".

Daca vulnerabilitatea va permite, oferiti-le un P.O.C cat mai de speriat, ca sa zic asa. Pacat ca tot mai multe companii au inceput sa invalideze aiurea bugurile.

[Nytro]

Sau cititi asta: Files ? Packet Storm

Si faceti cateva plati de pe conturile altora, luati-va o ciocolata

[mah_one]

Sa va dau un sfat cu astia de la paypal, aveti grija sa nu trimiteti 3,4 bug-uri intr-un singur report. Daca gasesc unul duplicate sau invalid, iar restul valide, vei primii invalid pe tot report-ul. Va zic din experienta.

Pe lista care tot o trimit cu statusul la bug-uri, am 44 de iregistrari (ele sunt mult mai multe, fiindca am raportat mai multe odata). Vreau sa zic ca am exact 20 de inregistrari (Valid si Paid).

Am ratat top 10 fiindca nu le-am trimis rapoarte separate.

Spre exemplu am un bug la care si ei au acceptat "IMPORTANT CSRF vulnerabilities + XSS ".

Intr-o pagina aveam CSRF(puteam sa adaug email, telefon si adresa) si un Stored XSS. In raport le-am mai trimis o problema(cum sa fur adrese(adresa unde sta user-ul, EX: strada Lalelelor, etc) random). So, erau 4 problem valide, ei au considerat ca sunt doar doua probleme -> XSS si CSRF, dar au platit numai 1000$, iar problema cu furatul de adrese, nu au mai zis nimic.

Cum draq sa dai 1000$ pe un CSRF prin care adaugi o adresa de email, adresa unde sta user-ul si numar de telefon + un Stored XSS la adresa? (toate erau request-uri diferite).

Edited August 28, 2013 by mah_one

[io.kent]

akkiliON iti mananci linistea, cu niste persoane care se rad de munca ta, iti dau un sfat, intr-o lume nebuna, nu trebuie sa fi sanatos, asa ca fa-le public, sa se invete minte, jegosi, ca si mie in 2010, la fel mi-au zis, de atunci nu am mai primit nimic de la eii, si nu lam facut public, au reparat repede si sa uitat de treaba aia.. Sunt jegosi, se rad de munca noastra, MUIE lor..

[Shin]

Astea-s toate 100% gasite manual sau ati folosit ceva tools?

[akkiliON]

Ce tool-ul dracului s? folosesc. M? pi? pe ei.

[malsploit]

ar iesi frumos un articol pe blogul rst.

[io.kent]

Abia astept sa vad, cu o sa se planga, Muistii si sa le pice fata, aia de tractoristi cu insolatie, doamne daca am boala pe cineva, sigur e pe eii

[dekeeu]

Faceti-le disclosure la alea duplicate.

Mai exact, nu cred ca le ia lor 2 ani sa repare un XSS. Deci de multe ori nu cred ca e vorba de vreun duplicat. Ameninta ca il faci public, vezi macar ce zic.

Intrebare si raspuns:

Nu vreau sa am probleme cu ei, mai am si bani de primit, eu cred ca ii las asa .

Edited August 28, 2013 by dekeeu

[akkiliON]

Intrebare si raspuns:

A?a mi-a spus ieri ?i mie !

[io.kent]

you must enable cookies in your browser

translated of that error:

Cookies are disabled

error message

You must enable cookies to be able to pay at checkout.

Cookies are enabled unprotect payments

Cookies must be enabled for many of the PayPal feature to work. Please enable cookies in your browser. Then go back and pay again with PayPal.