GD
только .jpg и .svg один
Size: a a a
2021 June 19
НБ
а хсс из свг пробовал?
GD
вроде во всех браузерах по умолчанию теперь referer strict cross origin
GD
я читао что оно так не отобьет
GD
ХСС-svg в img конектсе не работают
НБ
и в этом?
content:url(https://controlled.example.com/some/image2.svg);
GD
в css... точно не знаю, но маловероятно
НБ
попробовал, в хроме не пашет :)
GD
да, также) Вот думаю репортить это или нет
НБ
ну ты можешь подменять контент, картинки. обманки какие нить. но бага так себе
GD
та я тоже согласен с этим, оставлю на сутки, посмотрю как часто тянут контент этот и потом зарепорчу, чтобы хоть дали бабки за сам домен)
2021 June 20
A
Спасибо большое за информацию!
HH
IMO Phishing via Basic auth kak variant mojno poprobovat.
GD
ne ponyal, poyasni
AK
при отдаче картинки на своем controlled.example.com отдашь хидер WWW-Authentificate c 401 кодом, и на основном домене при запросе картинки на странице вылезет basic auth, правда в окне будет указано, с какого домена оно породилось
1
thx
1
с этим ССТИ совсем страшно стало. походу свой личный шаблонизатор у них.
{2*2} =4
{2*3} =5
(2]2) =4
(2[3) =5AK
да может это и не шаблонизатор вовсе, а сумматор на щедрой регулярке
1
который срабатывает только на 2+2 и 2+3?
AK
ну судя по последним примерам, там складываются цифры без учета других символов