discuz x3.0 20130801版本发表日志可xss(含修复)

论坛开启日志功能的情况下，发表日志，在引入网络图片时可以实现xss。一、详细说明： 1、论坛开启日志功能。 2、用户登录后打开日志功能。 3、发表日志，在引入网络图片时可以实现xss。在ubuntu12.04LTS下搭建的apache2+php+mysql环境下，使用一切默认设置可以再现此漏洞，但我使用win2003时，之前能够再现，在没有更新配置的情况下发现今天不可再现此漏洞，onerror被替换成了点（.） 1、登录后打开日志模块。 2、发表日志，内容如下： discuz x3.0 20130801版本发表日志可xss(含修复) – 网站插图

3、单击提交

discuz x3.0 20130801版本发表日志可xss(含修复) – 网站插图1

4、提交日志后再浏览日志。 discuz x3.0 20130801版本发表日志可xss(含修复) – 网站插图2

修复方案： 过滤图片URL串

本博客所有文章如无特别注明均为原创。
复制或转载请以超链接形式注明转自起风了，原文地址《discuz x3.0 20130801版本发表日志可xss(含修复) – 网站》