QIWI: [sms.qiwi.ru] XSS via Request-URI

Сценарий https://sms.qiwi.ru/bo/reset/ выводит Request-URI без необходимых обработок. Эксплуатация возможно в браузере Internet Explorer через баг перенаправления Request-URI будет послан без urlencode. PoC IE http://blackfan.ru/x?r=https://sms.qiwi.ru/bo/reset/"/%252e%252e/%252e%252e/...