URL Spoof / Brave Shield Bypass
代码执行 / Use of Inherently Dangerous Function / #255991
该报告还没有中文解读。
原文摘录
摘自原文（1423 字符中的一小部分）
Summary: Improper URL parsing in Brave allows an attacker to spoof the hostname shield settings are applied to.
原文中的代码
> url.parse('http://brave.com%60x.code-fu.org/')
Url {
href: 'http://brave.com/%60x.code-fu.org/'
protocol: 'http:',
host: 'brave.com',
hostname: 'brave.com',
pathname: '%60x.code-fu.org/',
path: '%60x.code-fu.org/',
}默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Brave Software 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @mattaustin · 版权归作者与 Brave Software 所有