漏洞概要
关注数(24)
关注此漏洞
漏洞标题：Discuz! 储存型XSS可指定用户盗取cookies
漏洞作者： 疯子
提交时间：2012-11-27 11:07
修复时间：2012-12-02 11:08
公开时间：2012-12-02 11:08
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
Tags标签：
无
漏洞详情
披露状态：
2012-11-27： 细节已通知厂商并且等待厂商处理中
2012-12-02： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
Discuz! 储存型XSS可指定用户盗取cookies
详细说明：
昨天在转账的时候无意间发现的。
测试方法
在这块留言的地方没有如何过滤导致任何js脚本都可以运行发送到指定的转账用户
漏洞证明：
这个是通用型程序 腾讯的很多论坛都存在
修复方案：
版权声明：转载请注明来源 疯子@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-12-02 11:08
厂商回复：
最新状态：
暂无
漏洞评价：
评论
-
2012-11-27 11:10 |
斯文的鸡蛋 ( 普通白帽子 | Rank:173 漏洞数:41 | 我在这头，你在那头~)
-
2012-11-27 11:39 |
zzR 
( 核心白帽子 | Rank:1382 漏洞数:122 | 收wb 1：5 无限量收 [平台担保])
这个我好像试过……不过后来被防水墙等等之类的给阻止掉了
-
2012-11-27 11:42 |
钱途 ( 普通白帽子 | Rank:273 漏洞数:44 )
可指定用户盗取cookies还是可盗取指定用户cookies我怎么听你的 可指定用户盗取cookies 这么别扭
-
2012-11-27 11:47 |
疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫，我笑世人看不穿~)
-
2012-11-27 11:48 |
oneof ( 路人 | Rank:0 漏洞数:1 | 小菜一枚)
-
2012-11-27 12:34 |
性感的蛐蛐 ( 路人 | Rank:0 漏洞数:2 | 少年,母猪喊你回家拱地!)
-
2012-11-27 12:36 |
钱途 ( 普通白帽子 | Rank:273 漏洞数:44 )
-
2012-11-27 12:39 |
小一 ( 实习白帽子 | Rank:32 漏洞数:13 )
-
2012-11-27 12:43 |
鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)
-
2012-11-27 12:44 |
鬼魅羊羔 ( 普通白帽子 | Rank:299 漏洞数:42 | (#‵′)凸(#‵′)凸(#‵′)凸(#‵′)凸(#‵...)
刚想测试毒霸的吧，结果发现，木有金币啊。。悲了个催的。。应该跟CC借个号测试下，哈哈哈
-
2012-11-27 14:28 |
陈再胜 ( 普通白帽子 | Rank:121 漏洞数:13 | 微博收收听~~~●﹏●)
-
2012-12-02 12:23 |
king ( 路人 | Rank:15 漏洞数:2 | 喜爱安全，网络游戏安全应用漏洞挖掘)
-
2012-12-03 01:53 |
邪少 ( 实习白帽子 | Rank:58 漏洞数:7 )
-
2012-12-07 16:29 |
冉冉升起 ( 路人 | Rank:12 漏洞数:6 | ...)
-
2012-12-08 21:40 |
摩斯 ( 路人 | Rank:3 漏洞数:2 | 每天进步一点点！努力学习技术！)
