飞思卡尔官方网站曝XSS盲打漏洞

披露状态:

2013-01-29: 积极联系厂商并且等待厂商认领中,细节不对外公开
2013-01-29: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:
飞思卡尔大赛官网持久型XSS以及盲打

详细说明:
飞思卡尔大赛官网提问功能存在持久型XSS可导致盲打

受任于败军之际,奉命于危难之间,尼玛只能下半年时间老师让我搞飞思卡尔有木有?电路完全半吊子有木有?然后妥妥的手贱了。。

1、任意注册账号,进入修改资料页面:

飞思卡尔官方网站曝XSS盲打漏洞

2、队伍名称处填入XSScode

飞思卡尔官方网站曝XSS盲打漏洞

3、左侧提出问题

飞思卡尔官方网站曝XSS盲打漏洞

4、盲打后台

飞思卡尔官方网站曝XSS盲打漏洞

漏洞证明:
队伍名称处未过滤

飞思卡尔官方网站曝XSS盲打漏洞

修复方案:
过滤。
ps:表示对“提问标题”处有没有过滤表示很怀疑。但是没有试,影响范围太大鸟~