当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0101689

漏洞标题:雪球Android客户端存在uxss漏洞

相关厂商:雪球

漏洞作者: wutongyu

提交时间:2015-03-16 17:57

修复时间:2015-06-14 18:45

公开时间:2015-06-14 18:45

漏洞类型:远程代码执行

危害等级:中

自评Rank:7

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-03-16: 细节已通知厂商并且等待厂商处理中
2015-03-16: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2015-05-10: 细节向核心白帽子及相关领域专家公开
2015-05-20: 细节向普通白帽子公开
2015-05-30: 细节向实习白帽子公开
2015-06-14: 细节向公众公开

简要描述:

好像雪球还没有人提。。提一下

详细说明:

在雪球客户端发布评论的时候允许植入超链接,点击超链接会启用自身的浏览器,渲染的时候会触发uxss漏洞

2.jpg


uxss-1.jpg

漏洞证明:

2.jpg


uxss-1.jpg


此类股票app还是需要注意该类型的风险。。
话说很喜欢你们雪球的抱枕,能送一个么?

修复方案:

参考:http://drops.wooyun.org/tools/3186

版权声明:转载请注明来源 wutongyu@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-06-14 18:45

厂商回复:

我们已经过滤了我们的自己的敏感信息,不会存放在 cookie 中的,对第三方的网站我们也不能做过多的约束,所以暂时也不考虑全部禁止 cookie 的方案了。但还是感谢白帽子,请私信地址,抱枕送上!

最新状态:

暂无


漏洞评价:

评论

  1. 2015-03-17 10:32 | D&G ( 普通白帽子 | Rank:523 漏洞数:103 | going)

    xss的危害不局于cookie吧

  2. 2015-04-27 02:25 | 蟋蟀哥哥 ( 普通白帽子 | Rank:363 漏洞数:57 | 巴蜀人士,80后宅男,自学成才,天朝教育失败...)

    sns类型的网站,最怕的就是xss好不好