漏洞详情

披露状态:

2014-03-10: 细节已通知厂商并且等待厂商处理中
2014-03-11: 厂商已经确认,细节仅向厂商公开
2014-03-21: 细节向核心白帽子及相关领域专家公开
2014-03-31: 细节向普通白帽子公开
2014-04-10: 细节向实习白帽子公开
2014-04-24: 细节向公众公开

简要描述:

淘宝商品页面真实信息被串改,当用户访问页面的时候容易被虚假信息误导,产生错误的购买意向。

详细说明:

测试地址:

http://item.taobao.com/item.htm?spm=a230r.1.14.1.5aail6&id=37643222453&qq-pf-to=pcqq.c2c

当用户访问此页面的时候会加载其它的脚本,脚本会自定义DIV,覆盖到淘宝官方页面的DIV上边,掩饰真实的销售数据,而创建出虚拟的销售数据,用来误导消费者,此漏洞虽然对淘宝系统没有什么安全影响,但是淘宝作为一个面向客户的平台,如果此方式被更多人使用的话,会导致很多人上当。希望官方能够针对外部引用或者自定义店铺的HTML代码进行人工审核。

漏洞证明:

用户看到的虚假数据:

.png



真实的数据:

.jpg

修复方案:

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:6

确认时间:2014-03-11 10:27

厂商回复:

感谢你对我们的支持与关注,该问题我们正在修复。

最新状态:

暂无


漏洞评价: