当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2014-055990

漏洞标题:evernote(印象笔记)客户端存储型XSS

相关厂商:印象笔记

漏洞作者: letmypeoplego

提交时间:2014-04-15 17:12

修复时间:2014-07-14 17:12

公开时间:2014-07-14 17:12

漏洞类型:xss跨站脚本攻击

危害等级:低

自评Rank:3

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2014-04-15: 细节已通知厂商并且等待厂商处理中
2014-04-15: 厂商已经确认,细节仅向厂商公开
2014-04-18: 细节向第三方安全合作伙伴开放
2014-06-09: 细节向核心白帽子及相关领域专家公开
2014-06-19: 细节向普通白帽子公开
2014-06-29: 细节向实习白帽子公开
2014-07-14: 细节向公众公开

简要描述:

印象笔记剪藏网页时未对网页内容做验证,导致存储型xss,可危及pc上的客户端。

详细说明:

1.本地自建html

<p class="detail">http://www.baidu.com/test.php?tplid='"&gt;&lt;script&gt;alert(20140408);&lt;/script&gt;&lt;"http://www.baidu.com/test</p>


html.png


2.使用evernote的网页剪藏插件剪藏网页,然后编辑,将网页上的内容变为超链接。
编辑前:

before.png


before_big.png


编辑后:

after.png


after_big.png


3.开始出现效果。
web:

web_xss.png


pc:

pc_xss.png

漏洞证明:

web_xss.png


pc_xss.png

修复方案:

过滤

版权声明:转载请注明来源 letmypeoplego@乌云


漏洞回应

厂商回应:

危害等级:低

漏洞Rank:5

确认时间:2014-04-15 17:36

厂商回复:

感谢对印象笔记的支持

最新状态:

暂无