XSS on RORO's blog

Mon premier bug bounty : une DOM XSS

contact@rodolpheg.xyz (0xRo) — Sun, 10 May 2026 00:00:00 +0000

Note de divulgation : Le périmètre, le nom du programme et l’identité de la société sont masqués conformément à la politique de divulgation responsable. Tous les extraits de code sont anonymisés ou reconstruits pour illustrer le concept. La vulnérabilité a été signalée via une plateforme de bug bounty et a depuis été corrigée.

TL;DR

XSS basé sur le DOM trouvé dans une page /apps/returns d’une grande marque e-commerce
Cause racine : window.location.href = event.data.data - sans vérification d’origine, sans validation de schéma
Vecteur d’attaque : n’importe quelle fenêtre cross-origin tenant une référence via window.open() peut injecter une URI javascript:
Impact : exécution JavaScript complète dans l’origine cible → cookies de session, localStorage, appels API same-origin, prise de contrôle de compte
CVSS 9.0 (S:C - changement de portée)
Bonus : découverte d’une chaîne de destruction d’adresses sans protection CSRF en explorant l’impact

Comment tout a commencé

Je chassais des bugs sur une grande marque de cosmétiques e-commerce tournant sous Shopify. Rien de sophistiqué - juste lire le source des pages, grep sur des patterns intéressants, chercher ce truc qu’on a oublié de valider.