漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-034614
漏洞标题：蹦蹦网社区多处存储xss可能导致蠕虫传播
相关厂商：蹦蹦网
漏洞作者： 葬ァ月
提交时间：2013-08-21 15:14
修复时间：2013-10-05 15:14
公开时间：2013-10-05 15:14
漏洞类型：持久XSS
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-21： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-10-05： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
在漏洞未公布之前，这次不能写的太详细。。上次忘记要邀请码了，这次求乌云老大一定给个，谢谢了！-_-
详细说明：
蹦蹦网社区频道多处持久型XSS,泄露大量用户隐私信息，不怀好意者可通过此洞触发蠕虫。。。基于SNS平台高频率用户之间的互动，如通过此洞，发布一条心情，截断修改提交XSS后，瞬间获取N条用户信息，这只是一个刚注册账号的效果！！ 如能通过获取的用户信息，再次用他的名义发布经过修改的XSS信息心情，可一传十。。。。。
废话不多说，初步发现漏洞处在相册名字修改处，虽然在浏览器里直接插入XSS失败，貌似被过滤了，但是其实过滤形同虚设，经过截断修改提交之后，XSS植入成功！
同样漏洞存在于社区首页评论处，导致社区首页被植入XSS，后果十分严重，、。
漏洞证明：
过滤形同虚设，造成很大安全隐患。。。
可导致用户游戏B损失。。。。而游戏B貌似可以直接兑换移动充值卡哟
咱还是老老实实的发到乌云来吧，不搞破坏-_-
修复方案：
过滤改为在服务器端过滤即可
版权声明：转载请注明来源 葬ァ月@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝