漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-015038
漏洞标题：图虫存储型XSS
相关厂商：图虫网
漏洞作者： dyun
提交时间：2012-11-21 12:35
修复时间：2012-11-26 12:36
公开时间：2012-11-26 12:36
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-11-21： 细节已通知厂商并且等待厂商处理中
2012-11-26： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
只检查了两处...其它的还是自己好好看看吧！
详细说明：
1. 图虫网，发文字，可以自己发日志
检查到文字标题与标签两处参数没做过滤，导致存储型跨站，可加载外部js,插入html，跨站，钓鱼。
2. 构造好html发表
效果如图
3. 危害与利用，可参考
你们之前的xss漏洞.....
漏洞证明
http://tuchong.com/300215/3881309/
过滤标题，标题在多处，目测可构造xss.
4. ps 有礼物么
时常有礼物的都是以数据说话，哎...么有就算了，谁让自己懒呢~~~
漏洞证明：
见详细说明~~~
http://tuchong.com/300215/3881309/
修复方案：
过滤~~~
版权声明：转载请注明来源 dyun@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-11-26 12:36
厂商回复：
最新状态：
暂无