Здравствуйте! XSS срабатывает на e.mail.ru, m.mail.ru, light.mail.ru и в мобильном приложении. Уязвимость присутствует в параметрах стилей, в срабатывает, если экранировать символы. Рабочий вектор (здесь одиночные бэкслэш, в примере ещё ниже хостинг обрезал до одиночных): Отправка письма осуществляется php скриптом, функцией mail()
Пример: "; $hs = "From: $from\r\n"; $hs .= "Content-type: text/html; charset=UTF-8\r\n"; if(mail("hackerone.one@mail.ru", "subj", " text", $hs)){ echo "good"; } ?> Срабатывает xss не в каждой почте, но из пяти моих ящиков, сработало в трёх. Предполагаю, вы вносите изменения в систему :) На одном из ящиков, то срабатывает, то через +/- час нет. Тестил в ящике: cloud.mail-ru@mail.ru, пароль: ItsHackNewton В приложенном видео вывод cookie и файл php для отправки, т.к в данном тикете тоже экранирует двойные бэкслэши. Поиск уязвимости производился вручную, без использования программ. С уважением, Максим.

Mail.ru: XSS в письме, в теле письма.