Про це він повідомив в своєму блозі.

За його словами, вразливість була пов’язана з тим, як PayPal зберігає токени CSRF і ID сесій у файлі JavaScript.

“Досліджуючи основний процес аутентифікації PayPal, я помітив файл javascript, що містить те, що здавалося токеном CSRF, і ідентифікатор сеансу. Це відразу привернуло мою увагу, тому що надання будь-якого виду даних сеансу в допустимому файлі javascript зазвичай дозволяє зловмисникам отримувати їх”, – розповів експерт.

У так званій атаці з використанням XSSI шкідлива веб-сторінка може використовувати скрипт-тег HTML для імпорту міжсайтового сценарію, що дозволяє їй отримати доступ до будь-яких даних, що містяться у файлі.

Зазначається, що швидкий тест підтвердив вразливість XSSI і, хоча для рандомізації імен при кожному запиті використовувався обфуськатор, цікаві токени як і раніше розміщувалися в достатньо передбачуваних місцях, що дозволяло отримувати їх витягти.

У підсумку, хакери могли отримати електронну пошту і пароль користувача PayPal.

Бірсан повідомив команду PayPal про цю уразливість і отримав 15 300 доларів за програмою bug bounty.

• Найбільша у світі електронна платіжна система PayPal припинила своє співробітництво з порносайтом Pornhub.