Раскрыл один из интересных отчетов в программе Мегамаркет, опять же связанный с некорректным проксированием HTTP запросов в S3 систему.

Ссылка на отчет:
https://bugbounty.standoff365.com/disclosed-reports/37

Из интересного - в отчете используется обход Web Application Firewall через разделение XSS нагрузки на части по 5 мегабайт и использование Multipart Upload в S3.

А подробнее прочитать о том, из-за чего возникает такой мисконфиг, позволяющий проэксплуатировать уязвимость, можно в этом посте: https://t.me/Black4Fan/15