Приложение имеет следующую политику CSP:
Content-Security-Policy: default-src 'self'; script-src 'self’
Есть endpoint
/preview?url=..., который вставляет URL в iframe:
<iframe src="$url"></iframe>
Вы отправляете:
/preview?url=data:text/html,<script>alert(document.domain)</script>
Скрипт исполняется.
Почему CSP не сработала ❓
🐸 Библиотека хакера
#междусобойчик