360doc 脚本跨站和密码明文存储

漏洞概要

缺陷编号:WooYun-2012-06521

漏洞标题:360doc 脚本跨站和密码明文存储

相关厂商:北京六智信息技术有限公司

漏洞作者:路人甲

提交时间:2012-04-29 10:46

公开时间:2012-06-13 10:47

漏洞类型:XSS 跨站脚本攻击

危害等级:高

自评Rank:15

漏洞状态:未联系到厂商或者厂商积极忽略

Tags标签:

漏洞详情

披露状态:

2012-04-29: 积极联系厂商并且等待厂商认领中,细节不对外公开
2012-06-13: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

1、特殊字符没过滤好,导致跨站漏洞
2、密码明文存储,估计跟CSDN有基情。

详细说明:

1、特殊字符没过滤好,导致跨站漏洞2、密码明文存储,通过密码找回功能可证明。

漏洞证明:

1、跨站

2、密码文明保存

修复方案:

1、过滤特殊字符2、密码进库前先加密吧。

漏洞回应

厂商回应:

未能联系到厂商或者厂商积极拒绝

评价