зафишить их можно и миллионом других способов

ну тут прям с твоего домена линка, красота же ))

в bitrix админке шеллы лить можно? или бесполезно пробовать?

а все решил, без костылей льет в корень

На случай если ещё какой-нибудь дэбил столкнётся с похожей проблемой дам ответ. Трабл был на моей стороне. Что я сделал: зашёл в Burp -> Help -> Clean Burp from computer; перешёл на последнюю версию 2020.9 (естественно, кряк, и известно из какого канала). Позор ёбаный
P.S. Max Harpsiford респект за отклик

Вы сейчас про что говорите?

там есть обработчик php, прям вот любой код можешь залить

кто в гугл репортил о багах? есть вопрос чирканите в ЛС плиз

В сам гугл или в их прогу по приложеням андроида?

в хроме в поисковике гугла

но на телефоне тоже вектор работает

СПС отписались. вопрос снят.

посоны reflected file download - это же какое-то днище, судя по описанию, примерно как клиент-сайд формула инжекшн?
типа надо чтобы
можно было говно впихнуть в файл
нужно чтобы жсон ответ от сервера интерпретировался браузером как аттачмент
после этого юзер должен аттачмент скачать и еще и запустить
выглядит сомнительно

1. Это клиентская уязвимость, тут немного другие угрозы, чем уязвимости серверной стороны. И да, безопасность клиентов обычно беспокоит компании меньше, чем безопасность компании.
2. Уязвимость позволяет обходить существующие контроли безопасности, противоречит ожиданиям защитников о работе системы и о её безопасности. Следовательно, уязвимость значимая. Конкретный импакт нужно смотреть в контексте. От Informational до Medium.

Ну можно фишинговую рассылку сделать, с текстом: "бла бла бла, у нас там обновление загрузите и запустите файл" и ссылка на валидный сайт компании.

В импакте я бы написал.

У меня не совсем тоже самое было, но получилось загрузить *.exe, где его не должно было быть, и была прямая ссылка на файл, т.е. при переходе по ссылке предлагалась загрузка. Импакт я описал подобным образом. Засчитали как Low

по задумке атака схожа с RTLO https://hackerone.com/reports/229170

Кто знает как увидеть пароль под звечдами..
type:"text" не катит, а в инете только про это.. программы тоже не катят, там какой-то скрипт обрабатывает, кто знает что делать?

Так в HTML уже звезды что ли?