Stored XSS в комментариях к товарам

## Сценарий Вы — аудитор **GadgetGarage**, магазина гаджетов с живым сообществом: под каждым товаром покупатели оставляют отзывы. Модератор пожаловался, что после некоторых комментариев «страница ведёт себя странно», и приложил скриншот с расползшейся вёрсткой. Вас попросили разобраться, безопасно ли приложение хранит и выводит тексты отзывов, — тем более что у магазина есть форма «Report to Admin», по которой администратор открывает присланные ссылки. ## Цель 1. Найдите форму комментариев и подтвердите: разметка из текста комментария исполняется при показе страницы товара, а не выводится как текст. 2. Подготовьте комментарий, исполнение которого в браузере жертвы доставит её cookie на ваш Exploit Server. 3. Отправьте боту-администратору адрес страницы товара с этим комментарием, перехватите его сессию и заберите CTF-флаг из админ-раздела. ## Теория Stored XSS отличается от отражённого временем жизни: вредоносный текст сохраняется в хранилище один раз, а исполняется при каждом показе страницы — у всех посетителей, включая сотрудников. Опасность задают те же два условия: недоверенный текст и вывод его как разметки. **Уязвимый паттерн:** ```html <p class="comment-text">{{ c.text|safe }}</p> ``` Для текста комментария автоэкранирование шаблона явно выключено: сохранённая строка попадает в разметку как есть и становится живыми элементами у каждого, кто открыл страницу товара. Теги исполнения скриптов срабатывают с правами страницы: видят cookie сессии посетителя и действуют от его имени. Форма отчёта доводит это до администратора — бот открывает присланный адрес в собственной сессии. ## Точка входа атаки `POST /product/<id>/comment` — форма отзыва, поле `text` (с CSRF-токеном). Отображение — `GET /product/<id>`. Доставка боту-администратору — `POST /report` с полем `url`. * **Обычный пользователь:** `demo` / `demo`