Хранимая XSS на странице "Виджет для авторизации"

Summary

Self-XSS на странице документации виджета.

На счет того Self-XSS это или нет - оставляю на усмотрение общественности. Но лично мое мнение - команда vk тут все же ошибается.

Для эксплуатации уязвимости атакующий должен был: Создать приложение с именем javascript:alert(1);// Добавить атакуемого пользователя в администраторы приложения Сделать атакуемого пользователя главным администратором

Уязвимость воспроизводилась, когда атакуемый попадал на страницу https://vk.com/dev/Login через историю. Например, переходил на другой сайт (не важно какой), а затем нажимал в браузере кнопку "назад".

В ходе исправления уязвимости она переродилась из хранимой в reflected и воспроизводилась при использовании этого url https://vk.com/dev.php?aid=6216706&method=Login&url=javas%03cript%3Aalert(1)%3B//

В ходе дальнейших исправлений было найдено множество способов их обойти. Том числе использовались такие векторы: https://vk.com/dev.php?aid=6216706&method=Login&url=Java%0aScript:alert(2)%3B// https://vk.com/dev.php?aid=6216706&method=Login&url=%03JavaScript:alert(1)// и менее опасный: https://vk.com/dev.php?aid=6216706&method=Login&url=data:text/html,%3Cscript%3Ealert(1)%3B%3C/script%3E