漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-087795
漏洞标题：简书某处未过滤存在 xss
相关厂商：jianshu.com
漏洞作者： Go7hic
提交时间：2014-12-24 11:03
修复时间：2015-02-07 11:04
公开时间：2015-02-07 11:04
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-12-24： 细节已通知厂商并且等待厂商处理中
2014-12-24： 厂商已经确认，细节仅向厂商公开
2015-01-03： 细节向核心白帽子及相关领域专家公开
2015-01-13： 细节向普通白帽子公开
2015-01-23： 细节向实习白帽子公开
2015-02-07： 细节向公众公开
简要描述：
简书个人主页某处未过滤完全存在 xss 漏洞
详细说明：
个人还是比较喜欢简书这个网站的，就过来提一下，简书在个人设置页面填写个人简介处未过滤完全，存在 XSS 风险，可以诱惑别人访问你的主页时做点好玩的事情,最近发现很多带有点社交属性的网站都存在因未过滤完整而存在的 xss 风险，这是我们广大前端开发人员需要注意和提高的
payload:
漏洞证明：
只是做了一个简单的漏洞测试效果： http://www.jianshu.com/users/6Jtax2/timeline
修复方案：
过滤仔细一点
版权声明：转载请注明来源 Go7hic@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2014-12-24 11:31
厂商回复：
感谢白帽子给我们找出了这个漏洞，这个地方我们错漏了对几种元素的 sanitize，我们会立刻做出修正。
最新状态：
暂无