JYmusic 是一款开源的跨平台音乐管理系统。
有着清新的界面和强大的功能。
jymusic界面
在2.0版本中发现了一个可以打管理员cookie的漏洞
利用条件
1.登录会员
2.认证音乐人
上传音乐时,抓包,修改name或者cover_url参数
值为:
XSS"><script>alert(document.cookie)</script>>
此时提交的音乐就会存储到数据库中,由于name和cover_url没有过滤,导致在后台管理员审核的时候会触发一个XSS
效果
如果通过审核了前台也会大面积触发
这个问题在V2.0以下版本都存在(目前所有版本通杀)
建议存在问题的站长及时修复。
标签:XSS,jymusic,音乐,V2.0,漏洞,前台 From: https://www.cnblogs.com/WaxToday/p/18053880