漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-025278
漏洞标题：好的网存储型XSS,可获取后台部份管理权限,已经证明
相关厂商：好的网
漏洞作者： 稻草
提交时间：2013-06-06 16:44
修复时间：2013-07-21 16:45
公开时间：2013-07-21 16:45
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：12
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-06-06： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-07-21： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
对会员发布信息没过滤，可直接插入xss
详细说明：
注册个用户，直接到会员管理后台
点发布相册
在公司名称写入<script都行...
然后就等管理人员上来，这边就收COOKIE了
漏洞证明：
这里显示的后台是 http://upload.oodii.com/admin/queryCorps.action
扫一下，后台真实地址是http://upload.oodii.com/admin/admin.jsp
然后用上我们的COOKIE就能登上了。
修复方案：
貌似网站对输入都没做过多的过滤，好多地方能xss...管理员多看看
版权声明：转载请注明来源 稻草@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝