腾讯问问提问的一个持久型xss漏洞

漏洞概要

缺陷编号:WooYun-2013-019955

漏洞标题:腾讯问问提问的一个持久型xss漏洞

相关厂商:腾讯

漏洞作者:路人甲

提交时间:2013-03-12 12:43

公开时间:2013-03-12 17:19

漏洞类型:XSS 跨站脚本攻击

危害等级:低

自评Rank:3

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2013-03-12: 细节已通知厂商并且等待厂商处理中
2013-03-12: 厂商已查看当前漏洞内容,细节仅向厂商公开
2013-03-12: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

在提问的内容里面插入xss代码可以导致弹窗

详细说明:

提问时可以插入script代码

漏洞证明:

修复方案:

加强过滤

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2013-03-12 17:19

厂商回复:

非常感谢您的报告。这个问题我们经过评估,暂未发现可以对用户或者业务产生影响,故不作处理。如果您对于该结论有任何的疑问,欢迎反馈指正,我们会有专人跟进处理。

最新状态:

暂无

评价

  1. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    什么情况咧这是

  2. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    什么情况咧这是

  3. 2010-01-01 00:00 李白 白帽子 | Rank:128 漏洞数:19)

    @鬼魅羊羔 @xsser 不能产生影响么。。。碉堡了呀

  4. 2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

    修补了么??我测试怎么不能重现。。

  5. 2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

    @xsser 传说中的修补后忽略?

  6. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @px1624 可以重现的。

  7. 2010-01-01 00:00 鬼魅羊羔 白帽子 | Rank:274 漏洞数:36)

    @px1624 @李白 经过测试发现,只是在第一次提问,审核前有效,审核成功以后就无法弹框了,应该是审核成功以后,显示内容的地方做了过滤。。所以没有影响。

  8. 2010-01-01 00:00 px1624 白帽子 | Rank:963 漏洞数:126)

    @鬼魅羊羔 我没测试弹框,直接测试的插xsser.me