漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-070405
漏洞标题：某学校网站管理系统#储存型xss盲打后台(涉及大量学校)
相关厂商：深圳中动力网络技术有限公司
漏洞作者： M4sk
提交时间：2014-07-31 18:17
修复时间：2014-10-29 18:18
公开时间：2014-10-29 18:18
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：10
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-31： 细节已通知厂商并且等待厂商处理中
2014-08-05： 厂商已经确认，细节仅向厂商公开
2014-08-08： 细节向第三方安全合作伙伴开放
2014-09-29： 细节向核心白帽子及相关领域专家公开
2014-10-09： 细节向普通白帽子公开
2014-10-19： 细节向实习白帽子公开
2014-10-29： 细节向公众公开
简要描述：
RT
详细说明：
问题厂商：深圳中动力网络技术有限公司 http://www.zhongdongli.com
问题CMS:蓝色职业技术学院网站源码(商业版)
下载地址：http://down.chinaz.com/soft/35982.htm
问题处：
过滤不严导致xss盲打后台
很多处没过滤
很多学校案例：
周口幼儿师范学校：http://www.zkys.com.cn/wenda.asp
哈尔滨铁建工程技工学校 ： http://www.hrbtjjg.com
上海交通大学燃料电池研究所：http://fuelcell.sjtu.edu.cn
烟台第一职业中专：http://www.ytyzz.com/
开封市高级技工学校 ：http://www.kfjx.com
东海外国语学校·初中部：http://chuzhong.donghaischool.com
随州职业技术学院：http://www.szvtc.cn:8080/fzys/
湖南劳动人事职业学院：http://www.hnlrx.net/zsjy/
德州跃华学校：http://www.sdyuehua.com/zjb/
烟台大学才奕国际商务学院：http://www.cieeducation.com/
河南机电职业学院：http://yb.hnjd.edu.cn:8044/
广东省国防科技技师学院雅图仕校区：http://www.gf79gh.com/
衢州学院经贸管理学院：http://www.qzu.zj.cn/jguanx/
新乡职业技术学院：http://125.40.173.2:802/zsjy/
西安天艺传媒艺考培训学校：http://www.029tianyi.com/
北京瀚林学院：http://www.jzgcedu.com/
可随意构造个关键词谷歌一下：intitle:考生问答 inurl:wenda.asp
一大批
虽然是个盲打的xss 但是危害也不小了 毕竟涉及了这么多学校嘛
漏洞证明：
综上
修复方案：
过滤
版权声明：转载请注明来源 M4sk@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-08-05 09:30
厂商回复：
CNVD未建立与软件开发者的处置联系渠道，待认领。
最新状态：
暂无