Stored XXS @ https://steamcommunity.com/search/users/#text= via Profile Name
该报告还没有中文解读。
原文摘录
摘自原文（3191 字符中的一小部分）
There is a stored cross-site-scripting vulnerability present at the user search endpoint which can be exploited by modifying profile name of the would be attacking account. See POC picture.
原文中的代码
<a href="#" onclick="AddFriend(false,'PROFILE_NUMBER','NAME'); alert(document.cookie+''); $J(this).hide(); return false;" class="btnv6_blue_hoverfade btn_small btn_uppercase" style="display: none;">
<span>Add as friend</span>
</a>默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Valve 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @osintopsec · 版权归作者与 Valve 所有