XSS on Flickr

Howdy friends,

Today I’m going to show you how I got Flickr XSS Vulnerability. I’ve been spending time lately playing with Flickr.

First as usual I created flickr group with some random words <"lol">
To my bad luck there was filtration.

then i started digging with that and i found a way to execute my javascript.

Steps:

  1. Create a group with a name <img src=x onerror=prompt(1)>"
  2. Add someone to the group
  3. when user will click on leave group xss will prompt.

tumblr_inline_o1hf1h51P71t8my73_250

Note: As i told you there was filtration but when a user try to leave that group filtration does not work and xss get executed.

Flickr.Xss

It was reported to yahoo and then after 10 days i got reply from them “Triaged” , then after some more days they rewarded me by 400$ for this finding :v
And they put my name on their hall of fame page

Yahoo Hall Of Fame

Video Demo:

Thanks to Yahoo security team.

Time-line: 
05. Sept 2014 - Vulnerability reported. 
06. Sept 2014 - Need More Info. 
06. Sept 2014 - Provided more info. 
08. Sept 2014 - Need More Info. 
09. Sept 2014 - Provided More Info. 
15. Sept 2014 - Bug Triaged. 
01. Oct 2014 - Vulnerability fixed :D (That was pretty fast!)
 

shubhamgupta

 

91 thoughts on “XSS on Flickr

  1. #Hookahmagic
    Мы всегда с Вами и стараемся нести только позитив и радость.
    Ищите Нас в соцсетях,подписывайтесь и будьте в курсе последних топовых событий.
    Строго 18+

    Какой кальян купить новичку?
    Если это первая покупка, то лучше начать с более простых моделей. Это изделия со средней высотой (70 см) и одной насадкой. Количество труб влияет на работу устройства. Это будет трудная задача.

    Очень важно обращать внимание на материал шахты. Чем он прочнее, тем дольше прибор прослужит. Срок службы устройства минимум на 10 лет.

    https://h-magic.su/daily%20hookah
    Рекомендуется обращать внимание на внутренний диаметр шахты. Он должен быть минимум 12 см.

    Можно рассмотреть также электронные изделия. Они компактные и простые в использовании. Безопасный дым. Его можно курить (парить) даже в общественных местах. Что касается его вкусовых качеств – они ничем не уступают традиционным устройствам. Какой электронный кальян купить лучше? Самый распространенный гаджет – площадь Sturbuzz.

  2. Как войти на сайт Hydra 24?

    Маркетплейс Hydra устроен таким образом, что в него можно попасть несколькими способами, например, использовав Hydra tor браузер или через VPN. Чтобы узнать больше о том, как войти на Гидра сайт посетите официальный ресурс. Также можно воспользоваться VPN-подключением и сайтом-зеркалом. Но в большинстве случаев может понадобиться ТОР-браузер.

    Как зайти на сайт Гидра с телефона

    Мобильные устройства также широко применяются при покупке на сайте Hydra2web. Для этого понадобится специальный интернет-шлюз, который соединяется обычный интернет с теневой зоной или установить программу для VPN-подключения. Используя такие инструменты можно легко делать покупки на сайте Hydra 24.

  3. Добрый день!
    Норвежский дом – новые тенденции строительства частных домов и бань.
    Это не шутка. Действительно на вашем участке дом, баню или дом-баню можно построить всего лишь за один день.
    Дело в том, что строительство дома, бани или дома-бани на заводе занимает от 30 дней.
    Цены просто смешные! Дешевле, чем однокомнатная квартира. Скажу больше, обмана нет и это не маркетинговый трюк. Реально построить норвежский дом можно дешевле, чем купить квартиру.
    Конструкция стен, потолка и пола очень теплая, теплее, чем из обычных материалов. Сэкономите на отопление.
    Строительство 100% качественное без брака, с соблюдением всех строительных норм и технологических процессов.
    Если вас заинтересовало:
    Норвежские загородные дома
    Можете смело остановить дальнейшие поиски. Потому что производитель дает гарантию на дом, баню или дом-баню!
    Увидимся!

  4. Revolutional update of captchas regignizing software “XRumer 19.0 + XEvil 5.0”:

    Captcha solution of Google (ReCaptcha-2 and ReCaptcha-3), Facebook, BitFinex, Bing, Hotmail, SolveMedia, Yandex,
    and more than 12000 another size-types of captchas,
    with highest precision (80..100%) and highest speed (100 img per second).
    You can use XEvil 5.0 with any most popular SEO/SMM programms: iMacros, XRumer, SERP Parser, GSA SER, RankerX, ZennoPoster, Scrapebox, Senuke, FaucetCollector and more than 100 of other programms.

    Interested? There are a lot of impessive videos about XEvil in YouTube.

    Free XEvil Demo available.

    See you later!

  5. I was just searching for this info for a while. After 6 hours of continuous Googleing, at last I got it in your website.
    I wonder what’s the lack of Google strategy that do not rank this type of
    informative websites in top of the list. Generally the top sites are full of garbage.

    my blog post; exam, en.eyeka.com,

  6. ######## FREE #########
    ULTIMATE РТНС COLLECTION
    NO PAY, PREMIUM or PAYLINK
    DOWNLOAD ALL СР FOR FREE
    =======================
    Description:-> gg.gg/e8ioj
    =======================
    Webcams РТНС 1999-2020 FULL
    STICKAM, Skype, video_mail_ru
    Omegle, Vichatter, Interia_pl
    BlogTV, Online_ru, murclub_ru
    =======================
    Complete series LS, BD, YWM
    Sibirian Mouse, St. Peterburg
    Moscow, Liluplanet, Kids Box
    Fattman, Falkovideo, Bibigon
    Paradise Birds, GoldbergVideo
    Fantasia Models, Cat Goddess
    Valya and Irisa, Tropical Cuties
    Deadpixel, PZ-magazine, BabyJ
    Home Made Model (HMM)
    =======================
    Gay рthс collection: Luto
    Blue Orchid, PJK, KDV, RBV
    =======================
    Nudism: Naturism in Russia
    Helios Natura, Holy Nature
    Naturist Freedom, Eurovid
    =======================
    ALL studio collection: from
    Acrobatic Nymрhеts to Your
    Lоlitаs (more 100 studios)
    =======================
    Collection european, asian,
    latin and ebony girls (all
    the Internet video) > 4Tb
    =======================
    Rurikon Lоli library 171.4Gb
    manga, game, anime, 3D
    =======================
    This and much more here:
    or –> gg.gg/ezl52
    or –> xtl.jp/?aj
    or –> xor.tw/4pt0y
    or –> v.ht/nCMCF
    or –> cutt.us/Kiet0
    or –> gg.gg/fzk4d
    or –> v.ht/Pap1
    or –> xtl.jp/?Of
    or –> gg.gg/fzl0u
    ######## FREE #########
    —————–
    —————–xre

  7. ######## FREE #########
    ULTIMATE РТНС COLLECTION
    NO PAY, PREMIUM or PAYLINK
    DOWNLOAD ALL СР FOR FREE
    =======================
    Description:-> gg.gg/e8ioj
    =======================
    Webcams РТНС 1999-2020 FULL
    STICKAM, Skype, video_mail_ru
    Omegle, Vichatter, Interia_pl
    BlogTV, Online_ru, murclub_ru
    =======================
    Complete series LS, BD, YWM
    Sibirian Mouse, St. Peterburg
    Moscow, Liluplanet, Kids Box
    Fattman, Falkovideo, Bibigon
    Paradise Birds, GoldbergVideo
    Fantasia Models, Cat Goddess
    Valya and Irisa, Tropical Cuties
    Deadpixel, PZ-magazine, BabyJ
    Home Made Model (HMM)
    =======================
    Gay рthс collection: Luto
    Blue Orchid, PJK, KDV, RBV
    =======================
    Nudism: Naturism in Russia
    Helios Natura, Holy Nature
    Naturist Freedom, Eurovid
    =======================
    ALL studio collection: from
    Acrobatic Nymрhеts to Your
    Lоlitаs (more 100 studios)
    =======================
    Collection european, asian,
    latin and ebony girls (all
    the Internet video) > 4Tb
    =======================
    Rurikon Lоli library 171.4Gb
    manga, game, anime, 3D
    =======================
    This and much more here:
    or –> gg.gg/ezl52
    or –> xtl.jp/?aj
    or –> xor.tw/4pt0y
    or –> v.ht/nCMCF
    or –> cutt.us/Kiet0
    or –> gg.gg/fzk4d
    or –> v.ht/Pap1
    or –> xtl.jp/?Of
    or –> gg.gg/fzl0u
    ######## FREE #########
    —————–
    —————–xrr

  8. ######## FREE #########
    ULTIMATE РТНС COLLECTION
    NO PAY, PREMIUM or PAYLINK
    DOWNLOAD ALL СР FOR FREE
    =======================
    Description:-> gg.gg/lua7w
    =======================
    Webcams РТНС 1999-2020 FULL
    STICKAM, Skype, video_mail_ru
    Omegle, Vichatter, Interia_pl
    BlogTV, Online_ru, murclub_ru
    =======================
    Complete series LS, BD, YWM
    Sibirian Mouse, St. Peterburg
    Moscow, Liluplanet, Kids Box
    Fattman, Falkovideo, Bibigon
    Paradise Birds, GoldbergVideo
    Fantasia Models, Cat Goddess
    Valya and Irisa, Tropical Cuties
    Deadpixel, PZ-magazine, BabyJ
    Home Made Model (HMM)
    =======================
    Gay рthс collection: Luto
    Blue Orchid, PJK, KDV, RBV
    =======================
    Nudism: Naturism in Russia
    Helios Natura, Holy Nature
    Naturist Freedom, Eurovid
    =======================
    ALL studio collection: from
    Acrobatic Nymрhеts to Your
    Lоlitаs (more 100 studios)
    =======================
    Collection european, asian,
    latin and ebony girls (all
    the Internet video) > 4Tb
    =======================
    Rurikon Lоli library 171.4Gb
    manga, game, anime, 3D
    =======================
    This and much more here:
    or –> gg.gg/luauj
    or –> xtl.jp/?bl
    or –> xor.tw/4pt0y
    or –> v.ht/Xy1Di
    or –> cutt.us/FRZnG
    or –> gg.gg/fzk4d
    or –> v.ht/5lS5
    or –> xtl.jp/?cl
    or –> gg.gg/fzl0u
    ######## FREE #########
    —————–
    —————–xr1

  9. ######## FREE #########
    ULTIMATE РТНС COLLECTION
    NO PAY, PREMIUM or PAYLINK
    DOWNLOAD ALL СР FOR FREE
    =======================
    Description:-> gg.gg/lua7w
    =======================
    Webcams РТНС 1999-2020 FULL
    STICKAM, Skype, video_mail_ru
    Omegle, Vichatter, Interia_pl
    BlogTV, Online_ru, murclub_ru
    =======================
    Complete series LS, BD, YWM
    Sibirian Mouse, St. Peterburg
    Moscow, Liluplanet, Kids Box
    Fattman, Falkovideo, Bibigon
    Paradise Birds, GoldbergVideo
    Fantasia Models, Cat Goddess
    Valya and Irisa, Tropical Cuties
    Deadpixel, PZ-magazine, BabyJ
    Home Made Model (HMM)
    =======================
    Gay рthс collection: Luto
    Blue Orchid, PJK, KDV, RBV
    =======================
    Nudism: Naturism in Russia
    Helios Natura, Holy Nature
    Naturist Freedom, Eurovid
    =======================
    ALL studio collection: from
    Acrobatic Nymрhеts to Your
    Lоlitаs (more 100 studios)
    =======================
    Collection european, asian,
    latin and ebony girls (all
    the Internet video) > 4Tb
    =======================
    Rurikon Lоli library 171.4Gb
    manga, game, anime, 3D
    =======================
    This and much more here:
    or –> gg.gg/luauj
    or –> xtl.jp/?bl
    or –> xor.tw/4pt0y
    or –> v.ht/Xy1Di
    or –> cutt.us/FRZnG
    or –> gg.gg/fzk4d
    or –> v.ht/5lS5
    or –> xtl.jp/?cl
    or –> gg.gg/fzl0u
    ######## FREE #########
    —————–
    —————–xr2

  10. ######## FREE #########
    ULTIMATE РТНС COLLECTION
    NO PAY, PREMIUM or PAYLINK
    DOWNLOAD ALL СР FOR FREE
    =======================
    Description:-> gg.gg/lua7w
    =======================
    Webcams РТНС 1999-2020 FULL
    STICKAM, Skype, video_mail_ru
    Omegle, Vichatter, Interia_pl
    BlogTV, Online_ru, murclub_ru
    =======================
    Complete series LS, BD, YWM
    Sibirian Mouse, St. Peterburg
    Moscow, Liluplanet, Kids Box
    Fattman, Falkovideo, Bibigon
    Paradise Birds, GoldbergVideo
    Fantasia Models, Cat Goddess
    Valya and Irisa, Tropical Cuties
    Deadpixel, PZ-magazine, BabyJ
    Home Made Model (HMM)
    =======================
    Gay рthс collection: Luto
    Blue Orchid, PJK, KDV, RBV
    =======================
    Nudism: Naturism in Russia
    Helios Natura, Holy Nature
    Naturist Freedom, Eurovid
    =======================
    ALL studio collection: from
    Acrobatic Nymрhеts to Your
    Lоlitаs (more 100 studios)
    =======================
    Collection european, asian,
    latin and ebony girls (all
    the Internet video) > 4Tb
    =======================
    Rurikon Lоli library 171.4Gb
    manga, game, anime, 3D
    =======================
    This and much more here:
    or –> gg.gg/luauj
    or –> xtl.jp/?bl
    or –> xor.tw/4pt0y
    or –> v.ht/Xy1Di
    or –> cutt.us/FRZnG
    or –> gg.gg/fzk4d
    or –> v.ht/5lS5
    or –> xtl.jp/?cl
    or –> gg.gg/fzl0u
    ######## FREE #########
    —————–
    —————–xr3

  11. ######## FREE #########
    Warning! ALL big parts
    premium rar (mix.part01..999)
    or huge archives – scam.
    bit_lу lmу_dе аww_su and other
    paylinks – virus. Be careful.
    =======================
    Description:-> gg.gg/lua7w
    =======================
    Webcams РТНС 1999-2020 FULL
    STICKAM, Skype, video_mail_ru
    Omegle, Vichatter, Interia_pl
    BlogTV, Online_ru, murclub_ru
    =======================
    Complete series LS, BD, YWM
    Sibirian Mouse, St. Peterburg
    Moscow, Liluplanet, Kids Box
    Fattman, Falkovideo, Bibigon
    Paradise Birds, GoldbergVideo
    Fantasia Models, Cat Goddess
    Valya and Irisa, Tropical Cuties
    Deadpixel, PZ-magazine, BabyJ
    Home Made Model (HMM)
    =======================
    Gay рthс collection: Luto
    Blue Orchid, PJK, KDV, RBV
    =======================
    Nudism: Naturism in Russia
    Helios Natura, Holy Nature
    Naturist Freedom, Eurovid
    =======================
    ALL studio collection: from
    Acrobatic Nymрhеts to Your
    Lоlitаs (more 100 studios)
    =======================
    Collection european, asian,
    latin and ebony girls (all
    the Internet video) > 4Tb
    =======================
    Rurikon Lоli library 171.4Gb
    manga, game, anime, 3D
    =======================
    This and much more here:
    or –> gg.gg/m80z9
    or –> xtl.jp/?bl
    or –> xor.tw/4pt0y
    or –> v.ht/Xy1Di
    or –> cutt.us/FRZnG
    or –> gg.gg/fzk4d
    or –> v.ht/5lS5
    or –> xtl.jp/?cl
    or –> gg.gg/fzl0u
    ######## FREE #########
    —————–
    —————–xr1

Leave a Reply

Your email address will not be published. Required fields are marked *