🖼 Фотоальбом «Отпуск 2026»

Это страница «атакующего». Никакого вредоносного кода здесь нет — только ссылка.

Жертва видит обычное приглашение. Ссылка ведёт на настоящий yandex.ru — домен в адресной строке будет яндексовый, сертификат яндексовый.

Ведёт на https://yandex.ru/ugcpub/merge_profile?retpath=…

CRLF-инъекция в retpath разрывает заголовки ответа и подставляет в тело <script src=…>. CSP на этом ответе нет.
Скрипт исполняется в origin https://yandex.ru.
Он дергает cloud-api.yandex.ru с вашими куками. Апекс входит в Origin-аллоулист, поэтому ответ приходит с ACAO: https://yandex.ru + ACAC: true и скрипт его читает.
Данные уходят на сервер атакующего и показываются вам на экране.

Контроль: то же самое с m.yandex.ru (не в аллоулисте) даёт 401.

FND-9109 · эскалация FND-4015 · демонстрация для Яндекс.Багбаунти.