博客大巴有蠕虫传播风险

漏洞概要

缺陷编号:WooYun-2011-02869

漏洞标题:博客大巴有蠕虫传播风险

相关厂商:博客大巴

漏洞作者:liner

提交时间:2011-09-23 17:29

公开时间:2011-09-28 17:30

漏洞类型:XSS 跨站脚本攻击

危害等级:低

自评Rank:1

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

Tags标签:

漏洞详情

披露状态:

2011-09-23: 细节已通知厂商并且等待厂商处理中
2011-09-23: 厂商已查看当前漏洞内容,细节仅向厂商公开
2011-09-28: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

前面看小黑兄弟发了一个 被拒绝了 xser说没意义 我觉得是有意义的..

详细说明:

漏洞证明:

效果请访问http://1234qwqw.blogbus.com/

修复方案:

过滤javascript

漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2011-09-28 17:30

厂商回复:

最新状态:

暂无

评价

  1. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    我说没意义的原因是在于,蠕虫要传播,需要得到访问者的身份,得到访问者的数据和操作数据的权限,blogbus的设计在于,他得身份和他得访问者的数据权限是在一个不同的域里,所以我说没意义,也就是你得到了一个什么权限都没有的shell PS:果断wooyun需要一个讨论区

  2. 2010-01-01 00:00 liner 白帽子 | Rank:145 漏洞数:27)

    这个就是xss做到的 不是什么shell

  3. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    =。- 请蠕动起来给我看

  4. 2010-01-01 00:00 QQ852451559 白帽子 | Rank:78 漏洞数:17)

    围观xsser和liner

  5. 2010-01-01 00:00 kEvin1986 白帽子 | Rank:61 漏洞数:6)

    太棒了..要是博客大巴把这个"漏洞"补了..那么那些天真可爱的小MM都不会在博客大巴写日记了...lol'd.

  6. 2010-01-01 00:00 liner 白帽子 | Rank:145 漏洞数:27)

    旺财牛 见笑了 这个只是有风险 没有说一定可以 俺一直很仰慕你老人家 加个QQ 聊下吧 6060841

  7. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    我看到了一个悲剧的发生

  8. 2010-01-01 00:00 p.z 白帽子 | Rank:327 漏洞数:40)

    就事论事,这个毛估估还是可以被XX的(http://blog.home.blogbus.com/posts/form的document.domain)只是可能作者自己都没意识到.
    1986和2600的确不是一个人...

  9. 2010-01-01 00:00 xsser 白帽子 | Rank:152 漏洞数:17)

    额 难道bus改版了