会员发送信件处，上传附件允许 上传swf格式文件，

同时 未对<embed>标签做过滤。

我们构造一个恶意的swf。例如这样
 

上传附件 f12 查看代码 得到swf路径后。抓包提交

<embed src="https://localhost/file/upload/201407/23/21-48-13-93-4.swf">
 

查看短信时 触发
 

因为 同域，那么这个swf就可以做很多啦，盗取cookie 之类的。

修复方案：

不允许上传swf。