We pwned X, Vercel, Cursor, and Discord through a supply-chain attack
5 months ago
- #XSS
- #Bug Bounty
- #Cybersecurity
- 16岁的高中毕业生Daniel在AI文档平台Mintlify中发现了一个严重的跨站脚本（XSS）漏洞，该平台被Discord、X（Twitter）和Vercel等顶级公司使用。
- 该漏洞允许攻击者通过单次链接点击向文档站点注入恶意脚本，可能窃取用户凭证。
- Daniel发现Mintlify的API中存在一个端点，该端点未经验证即可从任意子域获取静态文件，使得通过含有嵌入式JavaScript的SVG文件实施XSS攻击成为可能。
- 问题报告后，Discord暂时关闭了其开发者文档，回滚至旧平台并移除了Mintlify相关路由。
- Mintlify迅速修复了漏洞，团队从Discord和Mintlify处共获得约11,000美元的漏洞赏金。
- 该事件凸显了供应链漏洞的风险——单个服务被攻陷即可影响多家知名企业。