Discuz_X2.5 dom xss漏洞

漏洞名称:	Discuz_X2.5 dom xss漏洞
漏洞风险:	1. 存在 "网站用户资料泄露" 风险 2. 安全性降低20% 3. 8个站长进行了讨论
检测时间:	2013-02-22 20:01:46
漏洞证据:	webscan\u0027.replace(/.+/,/javascript:alert(42873)/.source);//';
漏洞地址:	http://www.56ban.com:80/connect.php?receive=yes&mod=login&op=callback&referer=webscan%bf\u0027.replace(/.%2b/,/javascript:alert(42873)/.source);//
解决方案:	临时解决方案： \source\plugin\qqconnect\connect\connect_login.php 在19行 $referer = dreferer(); 的上面加上如下代码： $_GET['referer'] = strtr($_GET['referer'],'\\','/');（感谢站长飞鸟网络提高的临时解决方案）

这个漏洞你升级到最新的2月22号的版本就没有了!

solidedge 发表于 2013-2-22 21:09
这个漏洞你升级到最新的2月22号的版本就没有了!

额，我刚升级的，是在升级之前检测的，检测后有问题升级的，囧

噩舞士 发表于 2013-2-22 21:15
额，我刚升级的，是在升级之前检测的，检测后有问题升级的，囧

测试数据，呵呵

你升级完毕后,需要再次重新检测,我今天上午检测就是有这个漏洞,下午升级完毕后,再次检测,大概有40多分钟后,就没有这个漏洞了!

solidedge 发表于 2013-2-22 21:25
你升级完毕后,需要再次重新检测,我今天上午检测就是有这个漏洞,下午升级完毕后,再次检测,大概有40多分钟后, ...

嗯，我也是发现漏洞才去更新的，好久都没有进过网站后台了，，，，

ifxilou 发表于 2013-2-22 21:18
测试数据，呵呵

爱仕达

原来是这个漏洞，官方也没说清楚是哪个漏洞，看到 这里才知道

  他娘的，已经升级到20130222了检测还是存在漏洞。

升级到0222补丁包