漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-028741
漏洞标题：歪歪空间永储型XSS(可获取cookie)
相关厂商：广州多玩
漏洞作者： 邻国宰相
提交时间：2013-07-15 14:47
修复时间：2013-07-20 14:48
公开时间：2013-07-20 14:48
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-15： 细节已通知厂商并且等待厂商处理中
2013-07-20： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
见说明
详细说明：
YY会员空间签名完全没有过滤，导致xss可利用盗取任何用户cookie
本人会员马上过期了，没办法测试，只能本地测试，但结果是一样的，只要是YY会员就可以利用
--------------------
进入会员中心 点右上角会员空间 VZONE 进入会员中心主页
由于对签名处没有任何过滤，导致XSS如图
由于会员空间 是必须要开通会员，才能让公众有访问权限，所以本地测试了可以获取cookie，用朋友的会员账号一样可以。
会员空间地址：http://155274965.vip.yy.com/
155274965 这个是我的歪歪号。
跟QQ空间差不多的道理。
如果我会员歪歪号码是123456
我的地址就是http://123456.vip.yy.com/
发送给任何人点击。即可获取cookie
漏洞证明：
修复方案：
-_-!
版权声明：转载请注明来源 邻国宰相@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-07-20 14:48
厂商回复：
最新状态：
2013-07-26：之前没有及时回复导致被忽略，我们已经安排修复