попробуй 1e4+1e4

без результатов. вообще. пустой респонс

а {14-14} = 28?

не. ерунда в ответе какая-то

[2-2] = 4 ))))))

(9-9)=18?

он только 2 и 3 воспринимает

опять чтоли странный ctf

и это его почему-то вырубило

по всей видимости ты прав. тут просто сложение без учета любых иных символов

Что, браузеры чутка корсы пофиксили? Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true . Пытался сделать на такую страницу корс запрос с креденшелами и получил ошибки по типу нельзя вставлять креденшалы когда access-control-allow-origin: *

https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS/Errors/CORSNotSupportingCredentials читал такое недавно

В звездочку теперь креды не шлет

да тоже прочитал, чутка не понравилось это, т.к. проебал аккаунт тейковер, там челы в html тупо все куки записывают))  Есть ли браузеры которые это еще не поддерживают?

Старые версии только, скорее всего
Возможно, слоупок IE

Сам сейчас подобным вопросом задался, оставил ли кто-нибудь поддержку Flash
Нашел багу, похоже, жаль, что не в прошлом году :-)
Пытаюсь хоть для общего развития раскрутить
Похоже, единственный вариант это ставить какаху мамонта и запрещать обновляться

не теперь креды не шлет, а звездa и тру одновременно считаются невалидным сочетанием, ввиду чего браузеры в принципе блочат все запросы с ориджина

Вроде похожая трабла:
https://github.com/wireapp/wire-webapp/security/advisories/GHSA-382j-mmc8-m5rw
Насколько понимаю, на самой картинке могли написать инструкцию "для просмотра откройте в новой вкладке", чтобы пользователь так сделал и сам триггернул XSS внутри картинки.

“Wire didn’t validate whether a real image is uploaded or not, so you could change the content-type to text/HTML, allowing malicious JavaScript to be executed,” Gamble told The Daily Swig. “So, if you upload a valid image with an XSS payload at the bottom, the image is rendered fine. But once opened in a new tab, the XSS is then fired.”
https://portswigger.net/daily-swig/xss-flaw-in-wire-messaging-app-allowed-attackers-to-fully-control-user-accounts

Хотя, я наверно ошибаюсь, так как контролируемый тобой домен вряд ли является поддоменом цели, и при открытии картинки в новой вкладке XSS выполнится в пределах твоего домена, а не целевого :-(

так и естт, но подход интересный

Даже такое бывает ?))