Home 跨站漏洞，希望官方重视！

UCenter Home 程序存在跨站漏洞。

利用:（./space.php?<script>alert("/XSS/");</script></script>)

用户只要登录 XSS就会触发

C ao ， 太受不了，好心发个帖子，居然没有任何人重视。

看样子你们只注重表面上的东西，永远不注重内在的完美。

难怪 SuperHei 找DZ的漏洞那么容易。

帮你“友情重视”一下！












下载UCenter Home个人主题风格！

帮你“友情重视”一下！

明明有漏洞，可是官方不理睬，用程序还得用自己改……

这个问题我们会在之后的版本修正下。
目前你可以这样修改下

打开 ./source/function_common.php
找到

1. 
   
2. return 'http://'.$_SERVER['HTTP_HOST'].substr($uri, 0, strrpos($uri, '/')+1);
   

复制代码

修正为

1. 
   
2. return shtmlspecialchars('http://'.$_SERVER['HTTP_HOST'].substr($uri, 0, strrpos($uri, '/')+1));
   

复制代码

5# 茄子


谢谢官方重视本人发的帖子。

这个问题我们会在之后的版本修正下。
目前你可以这样修改下

打开 ./source/function_common.php
找到
return 'http://'.$_SERVER['HTTP_HOST'].substr($uri, 0, strrpos($uri, '/')+1);
修正为
return shtml ...
茄子 发表于 2009-3-4 10:11

也不给我贡献奖。。

路过

((mk06)) 路过...

官方都一天干吗呀