漏洞详情

披露状态:

2014-08-15: 细节已通知厂商并且等待厂商处理中
2014-08-20: 厂商主动忽略漏洞,细节向第三方安全合作伙伴开放
2014-10-14: 细节向核心白帽子及相关领域专家公开
2014-10-24: 细节向普通白帽子公开
2014-11-03: 细节向实习白帽子公开
2014-11-10: 细节向公众公开

简要描述:

这个没人提交过么?应该很容易发现的啊....
提交了看看

详细说明:

首先购买商品

1.jpg


在收货地址处
2处XSS 分别是邮件处 和留言处

2.jpg


确认后就可以了
等待管理员进入后台维护

3.jpg


此处一切正常
但是管理员一旦点击收货人的名字或者数量的详细就会触发XSS

4.jpg


5.jpg


漏洞证明:

4.jpg


5.jpg

修复方案:

过滤

标签: none

评论已关闭