漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-013593
漏洞标题：xcar极品存储xss一枚
相关厂商：爱卡汽车网
漏洞作者： 苦逼老爷爷
提交时间：2012-10-21 13:58
修复时间：2012-12-05 13:59
公开时间：2012-12-05 13:59
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-21： 细节已通知厂商并且等待厂商处理中
2012-10-21： 厂商已经确认，细节仅向厂商公开
2012-10-31： 细节向核心白帽子及相关领域专家公开
2012-11-10： 细节向普通白帽子公开
2012-11-20： 细节向实习白帽子公开
2012-12-05： 细节向公众公开
简要描述：
咱老xcar人了，我就不做破坏了，发现后直接报上来吧。不去套管理员cookie了。
完全没检查和过滤用户的输入，导致的结果是，只要你敢点我名字。。。
详细说明：
http://my.xcar.com.cn/myspace.php
完全没过滤用户输入，个人标签那里的15个汉字/30个英文，
更恶劣的是写心情，100多字啊，啥script不可以写。
导致的结果就是，只要进入我的个人空间，铁定中标。要让人进入自己的空间，在目前xcar的机制下，太容易了。 而且，只要你关注我，那个一层层的病毒般的扩展速度啊。。
所以，20rank真的不过份吧。。。
另外，嘻嘻，派点米给偶吧，当然，送给主号。。。灌水太累啊。
漏洞证明：
修复方案：
过滤非法输入。
版权声明：转载请注明来源 苦逼老爷爷@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：20
确认时间：2012-10-21 17:29
厂商回复：
感谢白帽子@苦逼老爷爷的无私帮助，XSS问题和注入问题对于一个sns类型站点来说，危害同样重要，甚至大于注入问题，我们也非常重视，我们会马上处理此问题。感谢您对爱卡的帮助！
最新状态：
暂无
( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])