漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-069185
漏洞标题：友约一处存储xss(盲打后台)
相关厂商：友约
漏洞作者： 小龙
提交时间：2014-07-21 16:11
修复时间：2014-09-04 16:14
公开时间：2014-09-04 16:14
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-21： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-09-04： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
友约，免费视频通讯工具。支持手机，电脑，平板、电视。大屏视频通话，让您和好友不只是“面对面”，更能看到Ta身处何处。天涯咫尺，友约相伴！
详细说明：
百度:
800次
豌豆荚:
49 万 人安装 407 人喜欢 438 人评论
360手机助手:
195万
91助手:
1547人
在app客户端过滤不严，直接盲打成功，萨瓦迪卡(>^ω^<)
直接(>^ω^<)
pia！！！pia！！！pia 饼干送到了O(∩_∩)O
漏洞证明：
弹一个框，装逼走人O(∩_∩)O
修复方案：
过滤特殊符号！
版权声明：转载请注明来源 小龙@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝