А попробуй увеличить таймаут, вдруг проблема в этом

Это где? В настройках чего?
Дело не в таймауте, запросы и ответы идут, но либо в обход прокси, либо если и через прокси, то с ошибкой на уровне веб-приложения (404, заранее неверный Allow-Origin хэдер, чтобы сломать корс на клиенте, и тд)

О, вот как. Все, однозначно надо глянуть

Даже Бум когда-то давно что-то писал в чате, что сталкивался с подобной фигнёй

Могут ли сайт отключить от эквайринга за уязвимость которая позволяет делать платежи от имени юзера?

Так эквайринг бабки с сайта берёт, ему до лампочки

кто что использует для поиска сенсетив инфы в js файлах (помимо url-ов) ?

Как часто вы вообще находите важную инфу в js?)

Кроме структуры приложения

у меня был клевый пример. был вебшоп в котором можно было отправить подарок другу. друг должен быть зареган в вебшопе тоже. адреса были скрыты. и вот если добавить товар в корзину для друга и пойти в корзину для оплаты - то в js была вся инфа о юзере. не только адрес который был необходим для логики работы приложения. но и email, телефон... и гугл наиндексировал около 18к уникальных юзеров. т.е у всех них можно было вытянуть инфу через js в корзине на шаге оплаты подарка

Здорова

Здарова*

привет

jwt secret token
internal api endpoint

У меня из реально прикольного - только 1 раз amazon s3 ключи

ну это отчасти лотерея же
причем в репорте про internal api endpoint с паролем, которые были указаны в js, триаджер открыл mediation request и h1 писал мне -чувак ты где это взял, компания подозревает что я это сделал как то не так
но заплатили и норм

пару раз видел там CSRF токены от текущего юзера залогиненного

еще вспомнил пример. на работе в одном проекте включили каким-то образом environment variables в js . заафектили штук 20 чувствительных эндпоинтов. ротацию устали делать)

xsrf токен в куке не обложен httponly, да и х с ним? Что то не вижу вектора как это взорваться может..

Я может ошибаюсь, но разве смысл ксрф токена не в том, чтобы не дать атакующему сделать запрос в админ апи при xss к примеру?

А без httponly просто при запросе читается токен, и создание запроса становится лишь чуточку сложнее, но в итоге запрос в админку пройдет