当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-017445

漏洞标题：京东在线客服存储xss一枚

相关厂商：京东商城

漏洞作者： onlycjeg

提交时间：2013-01-17 18:46

修复时间：2013-03-03 18:47

公开时间：2013-03-03 18:47

漏洞类型：xss跨站脚本攻击

危害等级：低

自评Rank：2

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-01-17： 细节已通知厂商并且等待厂商处理中
2013-01-18： 厂商已经确认，细节仅向厂商公开
2013-01-28： 细节向核心白帽子及相关领域专家公开
2013-02-07： 细节向普通白帽子公开
2013-02-17： 细节向实习白帽子公开
2013-03-03： 细节向公众公开

简要描述：

昨天买了张桌子，跟客服MM聊天，第一次没跨，今天去聊天记录查看快递订单号，页面就给我弹XXXX了...

详细说明：

1.png


2.png

漏洞证明：

1.png


2.png

修复方案：

没神马好建议，就是建议第三方合作的店商给力点，上次买了个遥控飞机，三方店商给我邮了一个礼拜...以前京东购物一般不都48小时就到货了么...

版权声明：转载请注明来源 onlycjeg@乌云

漏洞回应

厂商回应：

危害等级：低

漏洞Rank：5

确认时间：2013-01-18 09:59

厂商回复：

该问题和“陷编号： WooYun-2013-17380” 是一个问题。还是要感谢onlycjeg 对京东的关注！

最新状态：

暂无

漏洞评价：

评论

  1. 2013-01-17 20:59 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    这个有点意思

  2. 2013-01-17 22:55 | 雅柏菲卡 ( 普通白帽子 | Rank:1213 漏洞数:234 | 雙魚座聖鬥士雅柏菲卡)

    @围剿 是啊

  3. 2013-01-17 23:14 | onlycjeg ( 实习白帽子 | Rank:38 漏洞数:5 | 我就看看,我不说话.)

    其实也没什么，就是简单的聊天记录xss，今天收获不小啊，买了桌子，跨了妹子，

  4. 2013-01-17 23:24 | 雅柏菲卡 ( 普通白帽子 | Rank:1213 漏洞数:234 | 雙魚座聖鬥士雅柏菲卡)

    @onlycjeg 你确定对方是妹子？ 不是各种姐 ？ 如凤姐和芙蓉大姐 ？

  5. 2013-01-18 00:01 | onlycjeg ( 实习白帽子 | Rank:38 漏洞数:5 | 我就看看,我不说话.)

    @雅柏菲卡 我从聊天文字中，猜她是个萌妹子..不要羡慕我撒...吼吼..

  6. 2013-01-18 00:08 | redrain有节操 ( 普通白帽子 | Rank:183 漏洞数:26 | ztz这下子有165了！>_<'/&\)

    http://sfocs.sf-express.com/im-client/imclient/selfHelp.action?loginCityId=534&loginProvinceId=28&hl=zh_CN";alert("\u4f60\u4e2a\u7b28\u86cb hacked by redrain");//&source=cn&goto2011"=2011

  7. 2013-01-18 00:22 | 雅柏菲卡 ( 普通白帽子 | Rank:1213 漏洞数:234 | 雙魚座聖鬥士雅柏菲卡)

    @onlycjeg 我单身主义者 对男女无感

  8. 2013-03-03 23:58 | 专业查水表 ( 路人 | Rank:1 漏洞数:5 | "><script>alert(/我是"J.L"的大号/);</scr...)

    洞主最后一张图打开了一个网页“告别十年IT生涯重回农村”~~~~~~程序员情何以堪QAQ