当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2013-044012

漏洞标题:校讯通某处存储型xss漏洞

相关厂商:校讯通

漏洞作者: 李旭敏

提交时间:2013-11-25 18:21

修复时间:2014-01-09 18:21

公开时间:2014-01-09 18:21

漏洞类型:xss跨站脚本攻击

危害等级:高

自评Rank:15

漏洞状态:未联系到厂商或者厂商积极忽略

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2013-11-25: 积极联系厂商并且等待厂商认领中,细节不对外公开
2014-01-09: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

几个月之前提交的,但是不知道为什么被忽略了····

详细说明:

QQ截图20130822222808.jpg

访问的流量还是很可观的~~~~

QQ截图20130822222842.jpg

神奇的是,连访问来源都搜索到了~~~~~可以看得出是从百度搜索来的~~~~后来证明好像不是抓取到访问来源,而是抓取当前浏览器所正在访问的网页。随机出现的~~~

QQ截图20130822222942.jpg

我再去访问这个被我植入xss的网页。瞬间就发cookie来了·~~如下

漏洞证明:

http://hi.xxt.cn/home/space.do?toUid=994255
在留言处可以插入xss代码,没有过滤···

QQ截图20131125160308.jpg

粑粑再也不用担心我的学习了···

修复方案:

过滤

版权声明:转载请注明来源 李旭敏@乌云


漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝


漏洞评价:

评论