漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-013286
漏洞标题：油炸土豆咯，土豆存储型XSS漏洞
相关厂商：土豆网
漏洞作者： 九零少帅
提交时间：2012-10-16 11:42
修复时间：2012-11-30 11:43
公开时间：2012-11-30 11:43
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-10-16： 细节已通知厂商并且等待厂商处理中
2012-10-16： 厂商已经确认，细节仅向厂商公开
2012-10-26： 细节向核心白帽子及相关领域专家公开
2012-11-05： 细节向普通白帽子公开
2012-11-15： 细节向实习白帽子公开
2012-11-30： 细节向公众公开
简要描述：
土豆持持久性XSS...
详细说明：
首先在创建一个小组.然后在发表帖子.帖子选择投票的就OK了，因为投票功能没有安全过滤.无任何限制.所以可以触发储存XSS.
PS：这个漏洞其实我都没在意了，因为发表帖子需要管理审核.所以当时我发表后就没管了，那知道....不知道所谓的管理审核到底有没有审核.还是忽悠人的？.我3天前发表的.今天登录土豆帐号去看电影.就顺便看了下.结果很惊讶....“浏览器尽然弹出个窗口.差点吓死我了”.！
漏洞证明：
修复方案：
版权声明：转载请注明来源 九零少帅@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2012-10-16 21:36
厂商回复：
确认，谢谢。
最新状态：
暂无