蚂蜂窝持久型XSS漏洞一枚指哪打哪

漏洞概要

缺陷编号:WooYun-2014-089092

漏洞标题:蚂蜂窝持久型XSS漏洞一枚指哪打哪

相关厂商:蚂蜂窝

漏洞作者:orange

提交时间:2014-12-28 20:40

公开时间:2015-02-11 20:40

漏洞类型:XSS 跨站脚本攻击

危害等级:高

自评Rank:15

漏洞状态:厂商已经确认

Tags标签:

漏洞详情

披露状态:

2014-12-28: 细节已通知厂商并且等待厂商处理中
2014-12-29: 厂商已经确认,细节仅向厂商公开
2015-01-08: 细节向核心白帽子及相关领域专家公开
2015-01-18: 细节向普通白帽子公开
2015-01-28: 细节向实习白帽子公开
2015-02-11: 细节向公众公开

简要描述:

这个xss挺有意思的

详细说明:

0x00关键字

0x01 URL

0x02 过程首先我们在嗡嗡 Android App的 个人资料->签名 处插入xss代码

分别测试了安卓和ios客户端,安卓版未对用户输入进行过滤处理

然后我们再看看网页版的个性签名处

貌似没什么问题,接下来我们进入我的小组

随便点进去了帖子,然后正常回复

xss代码被执行了0x03 如何指哪打哪#1

#2

#3...

漏洞证明:

修复方案:

鉴于网站xss太多,建议采用httponly;对用户在移动端的输入加强过滤;安全是一个整体。PS:这个糖果徽章真的好漂亮,可否再送次小礼物;)

漏洞回应

厂商回应:

危害等级:高

漏洞Rank:18

确认时间:2014-12-29 09:58

厂商回复:

非常感谢orange 已经在修复中

最新状态:

暂无

评价

  1. 2010-01-01 00:00 zj1244 白帽子 | Rank:243 漏洞数:21)

    这漏洞确实挺有意思,比较隐蔽

  2. 2010-01-01 00:00 BMa 白帽子 | Rank:1666 漏洞数:121)

    确实很隐蔽

  • N/A