漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-099021
漏洞标题：e袋洗存储型XSS危及支付宝、微信公众平台可打管理员
相关厂商：edaixi.com
漏洞作者： CodeMan
提交时间：2015-03-06 17:48
修复时间：2015-04-20 17:50
公开时间：2015-04-20 17:50
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-03-06： 细节已通知厂商并且等待厂商处理中
2015-03-06： 厂商已经确认，细节仅向厂商公开
2015-03-16： 细节向核心白帽子及相关领域专家公开
2015-03-26： 细节向普通白帽子公开
2015-04-05： 细节向实习白帽子公开
2015-04-20： 细节向公众公开
简要描述：
e袋洗是高品质的O2O洗衣服务。需要洗衣时，仅需APP/微信下单、预约时间地点，就会有专业的上门服务人员按时上门收取衣服。经过15道专业清洗工序后，72小时内将熨烫平整的衣服送回。
超值的按袋洗衣、优质的按件清洗，随时随地上门服务，国内首创、独家、高品质的清洗服务神器。要好好对待自己的宝贝衣衣，怎能不选择e袋洗！
目前阶段：A轮
投资机构：经纬+SIG(A轮)
详细说明：
【e袋洗】存储型XSS危及支付宝、微信公众平台可打管理员
需要借助e袋洗的app
漏洞证明：
通过e袋洗APP修改个人收货地址
详细地址
保存
进入e袋洗的支付宝或者微信的公众平台查看效果
公众平台的修改收货地址有做过提交过滤，通过app修改直接是写入到库了
修复方案：
版权声明：转载请注明来源 CodeMan@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：3
确认时间：2015-03-06 18:09
厂商回复：
感谢。
最新状态：
暂无