当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-0103680

漏洞标题:飞马网存储XSS成功进后台

相关厂商:fmi.com.cn

漏洞作者: 千斤拨四两

提交时间:2015-03-25 18:58

修复时间:2015-03-30 19:00

公开时间:2015-03-30 19:00

漏洞类型:xss跨站脚本攻击

危害等级:中

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-03-25: 细节已通知厂商并且等待厂商处理中
2015-03-30: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

在主站提问问题出可发布帖子,在内容框内参数过滤不严,导致可插入跨站代码。

详细说明:

先用自己的手机号申请一个用户,栏目框有一个问题提问!

ca.png


打入跨站代码,在前台会显示,用户点击就能获取cookie!

漏洞证明:

不一会cookie掉下来了,问题果然是不出十分钟就有人回答啊!

cv.png


赶紧登录进去!

houtai.png


想着能不能拿到shell,无果,就到这里吧!

12.jpg


13.png


修复方案:

添加一套过滤规则,你们修!

版权声明:转载请注明来源 千斤拨四两@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2015-03-30 19:00

厂商回复:

最新状态:

暂无


漏洞评价:

评论