/xsp/.ibmmodres/ XSP/Domino リソースを参照するときに、get 要求に javascript を挿入できるようです。
通常、これを .nsf/ リソースで試すと、XSS の可能性のない正しいデフォルトまたはカスタムのエラーページが表示されます。特殊文字が置換されます。
例: - http://[サーバー]/[パス]/[データベース名].nsf/%3Cscript%3Ealert%28document.cookie%29%3C/script%3E
結果: HTTP Web サーバー: 設計要素が見つかりません
しかし、/xsp/.ibmmodres/ リソースを参照すると、XSS の可能性が生じます。
例：
- http://[サーバー]/[パス]/[データベース名].nsf/xsp/.ibmmodres/%3Cscript%3Ealert%28document.cookie%29%3C/script%3E
結果：
404 エラー ページ「登録されていないリソースを読み込めません /」が表示される
そして、CSJS を実行し、たとえば DomAuthSessID を表示します !!
これはどのように可能ですか？これを回避する方法はありますか？助けてください！