漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-040254
漏洞标题：妈妈网存在多处储存型XSS漏洞（主站＋分站）
相关厂商：妈妈网
漏洞作者： M4sk
提交时间：2013-10-21 17:39
修复时间：2013-12-05 17:39
公开时间：2013-12-05 17:39
漏洞类型：xss跨站脚本攻击
危害等级：低
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-21： 细节已通知厂商并且等待厂商处理中
2013-10-22： 厂商已经确认，细节仅向厂商公开
2013-11-01： 细节向核心白帽子及相关领域专家公开
2013-11-11： 细节向普通白帽子公开
2013-11-21： 细节向实习白帽子公开
2013-12-05： 细节向公众公开
简要描述：
RT
详细说明：
1，存在问题的站点：http://brandbase.mama.cn
看见很多分类 随便点击一个进入 发现都是dz程序的 然后发帖 - flash - 插入xss代码
每个里面发帖都行 我就不一一测试了....
2，主站呀~ http://www.mama.cn/q/ 妈妈圈
还是发帖处呀~ flash - xss代码
3，首先还是在发帖处发表 带xss代码的帖子 然后发现主页没弹窗 结果我们去我的个人中心 查看 - 我的提问 即可触发 我不知道别人能不能查看我的提问 在点击我的个人中心 -我的提问时是否可以盗取cookie、、、
4，感觉有点鸡肋~
首先在主页 我要提问 - 发布带xss代码的问题
但是发现发表后 是无法触发的..
接下来我们点击主页的 - 我要回答
然后就发现了弹窗 -... 是我刚刚发布的那个问题 。。
看看在问题的列表里面 ...那么在这个页面触发了
5，问题站点：http://tonglingquan.mama.cn
使用的是dz程序 那么发帖处 - flash插入xss代码即可
漏洞证明：
如上
修复方案：
关闭flash 或者过滤 你比我专业呀
版权声明：转载请注明来源 M4sk@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：4
确认时间：2013-10-22 11:10
厂商回复：
漏洞已确认，感谢M4sk
最新状态：
暂无