Pesquisador de segurança de 16 anos descobre falha grave em plataforma usada por grandes empresas

Um pesquisador de segurança de 16 anos, conhecido como “hackermondev” ou Daniel, descobriu uma falha grave na plataforma Mintlify, utilizada por grandes empresas como Discord, X, Vercel e Cursor para hospedar documentação técnica. A Mintlify é uma ferramenta que transforma arquivos Markdown em sites completos de documentação, com suporte a domínios personalizados.

Ao analisar o código da ferramenta de linha de comando da Mintlify, distribuída como um pacote npm, o pesquisador identificou uma rota interna que permitia o carregamento de arquivos estáticos, como imagens, de qualquer documentação hospedada na plataforma, sem verificar se o subdomínio solicitado correspondia ao site original. Durante os testes, ele constatou que arquivos SVG eram aceitos. Como esse formato permite a inclusão de JavaScript, Daniel criou um arquivo SVG malicioso, hospedou-o em sua própria documentação na Mintlify e conseguiu acessá-lo a partir do domínio do Discord.

Como o arquivo era carregado diretamente no navegador, o JavaScript embutido era executado no contexto do domínio do Discord, caracterizando uma vulnerabilidade grave de cross-site scripting. Na prática, a falha poderia ser explorada para roubar cookies, tokens de sessão ou credenciais de usuários que acessassem links maliciosos. Após a divulgação, o Discord e a Mintlify corrigiram a vulnerabilidade.