Một hắc-cơ tuổi teen, Andres Alonso, người Brazil, đã được thưởng 25.000 đô la Mỹ từ Facebook vì đã phát hiện ra một lỗ hổng ảnh hưởng đến Instagram. Cụ thể, cậu đã tìm thấy một lỗ hổng XSS (stored XSS) ảnh hưởng đến ứng dụng Instagram Spark AR Studio.
Hình 1- Người dùng Instagram có thể tạo filter cho ảnh trên Instagram thông qua Spark AR Studio
Hình 2- Bài đăng chia sẻ quá trình tìm thấy lỗi XSS trên Instagram của hắc-cơ tuổi teen trên Medium
Alonso đã tìm thấy lỗi này khi sử dụng Spark AR để tạo ra filter cho Instagram của mình. Cụ thể, trong lúc sử dụng ứng dụng này để tạo ra link filter, cậu đã thử tìm hiểu hoạt động này của ứng dụng bằng cách thay đổi tên mặc định của filter được ứng dụng tạo ra.
Hình 3- Quá trình phát hiện lỗi của Alonso
Sau khi phát hiện ra lỗ hổng, Alonso đã liên hệ với Facebook để báo cáo sự việc. Mặc dù sau đó cậu không thể báo cáo rõ ràng về lỗi XSS được tìm thấy, nhưng Facebook, đã thừa nhận lỗi bảo mật này, và xác nhận rằng nó có thể dẫn đến XSS trên Instagram. Do đó, việc phát hiện ra lỗi XSS trên Instagram, Facebook đã thưởng cho anh ấy 25.000 đô la tiền thưởng từ chương trình Bug Bounty của Facebook.
Nguồn: Andres Alonso
