当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：
wooyun-2015-096705
漏洞标题：
大姨吗设计不当导致右乐活躺枪#存储型XSS
相关厂商：
大姨吗
漏洞作者：
小龙
提交时间：
2015-02-14 17:40
修复时间：
2015-03-31 17:40
公开时间：
2015-03-31 17:40
漏洞类型：
xss跨站脚本攻击
危害等级：
中
自评Rank：
10
漏洞状态：
未联系到厂商或者厂商积极忽略
漏洞来源：
http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签：
无
分享漏洞：
4人收藏 收藏
分享漏洞：
>

漏洞详情

披露状态：

2015-02-14： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-03-31： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

工资就像大姨妈，一周左右就没了

详细说明：

location : http://admin.yoloho.com/newdayima/soft_feedback 
toplocation : http://admin.yoloho.com/index 
cookie : __utma=10088298.1246357221.1419578362.1419578362.1419578362.1; __utmz=10088298.1419578362.1.1.utmcsr=sogou|utmccn=(organic)|utmcmd=organic|utmctr=test.yoloho.com; _ga=GA1.2.1246357221.1419578362; Hm_lvt_2d1262f804527221f7dd10bfce121de5=1422324564,1422427796,1422500032,1423104118; sid=huo3m59blqrmg620o0sjlt3f13; PHPSESSID=36qtvgdumq0ljqv003uf3bm225; auth=f1321d391b51aeff35495950d607641db2a9c13290861b; uid=1000417; clickURL=%2Fnewdayima%2Fsoft_feedback 
opener :


1.png


网站设计的非常奇葩- -
yoloho.com 大姨吗
www.yoloho.com 右乐活
大姨吗伪装不了
我们直接伪装右乐活
邮箱确实是大姨妈官网的

2.png


3.png


反正百分之百是可以进后台的- -

http://mail.dayima.com/


漏洞证明：

location : http://admin.yoloho.com/newdayima/soft_feedback 
toplocation : http://admin.yoloho.com/index 
cookie : __utma=10088298.1246357221.1419578362.1419578362.1419578362.1; __utmz=10088298.1419578362.1.1.utmcsr=sogou|utmccn=(organic)|utmcmd=organic|utmctr=test.yoloho.com; _ga=GA1.2.1246357221.1419578362; Hm_lvt_2d1262f804527221f7dd10bfce121de5=1422324564,1422427796,1422500032,1423104118; sid=huo3m59blqrmg620o0sjlt3f13; PHPSESSID=36qtvgdumq0ljqv003uf3bm225; auth=f1321d391b51aeff35495950d607641db2a9c13290861b; uid=1000417; clickURL=%2Fnewdayima%2Fsoft_feedback 
opener :


1.png


网站设计的非常奇葩- -
yoloho.com 大姨吗
www.yoloho.com 右乐活
大姨吗伪装不了
我们直接伪装右乐活
邮箱确实是大姨妈官网的

2.png


3.png


反正百分之百是可以进后台的- -

http://mail.dayima.com/


修复方案：

过滤特殊符号

版权声明：转载请注明来源 小龙@乌云

>

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝