漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0129851
漏洞标题：JEE某CMS系统存储XSS（可打用户COOKIES）
相关厂商：JEECMS
漏洞作者： 苏安泽
提交时间：2015-07-28 13:28
修复时间：2015-10-31 13:31
公开时间：2015-10-31 13:31
漏洞类型：xss跨站脚本攻击
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-07-28： 细节已通知厂商并且等待厂商处理中
2015-08-02： 厂商主动忽略漏洞，细节向第三方安全合作伙伴开放
2015-09-26： 细节向核心白帽子及相关领域专家公开
2015-10-06： 细节向普通白帽子公开
2015-10-16： 细节向实习白帽子公开
2015-10-31： 细节向公众公开
简要描述：
JEE某CMS系统存储XSS（可打用户COOKIES）通用型！
详细说明：
漏洞证明：
我就随便注册一个账号。然后随便选一个商品进行购买，直到支付宝支付的页面停止就不用真正的付款了，这样才会生成一个订单。因为漏洞存在在商品评论处，评论商品需要购买才可以，经过测试随便选一个商品购买然后到支付宝页面去就停止了不用真正付款然后就会生产订单就可以评论了！
可以看到是处于还没付款的状态，现在我们就去商品的评论去看看吧。
现在去平台看一下：
修复方案：
过滤一下符号
版权声明：转载请注明来源 苏安泽@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-10-31 13:31
厂商回复：
漏洞Rank：4 (WooYun评价)
最新状态：
暂无