p2p之金投资xss得到cookie并打到数据

漏洞概要

缺陷编号:WooYun-2015-0128693

漏洞标题:p2p之金投资xss得到cookie并打到数据

相关厂商:金投资

漏洞作者:清清侠

提交时间:2015-07-23 18:18

公开时间:2015-09-06 18:20

漏洞类型:XSS 跨站脚本攻击

危害等级:高

自评Rank:20

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2015-07-23: 积极联系厂商并且等待厂商认领中,细节不对外公开
2015-09-06: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

我是金投资的用户,所以一定要帮助你们把安全做好。

详细说明:

这一处可以插入恶意代码。

打到的cookie。

漏洞证明:

成功获得用户表段

随便测试了2个账号。

修复方案:

所有数据都已删除,且未做任何修改。麻烦尽快修复漏洞,有不懂请与我联系。

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

漏洞Rank:15 (WooYun评价)

评价