【漏洞学习——XSS】金蝶商城xss盲打

本文揭示了金蝶商城存在的三处小XSS漏洞及一处反射型XSS漏洞,详细描述了通过搜索框触发XSS的过程。同时,披露了一个较为严重的后台盲打组织成员的漏洞,该漏洞允许攻击者在特定条件下对任意组织账户发起攻击。

摘要生成于 C知道 ,由 DeepSeek-R1 满血版支持, 前往体验 >

地址:http://mall.kingdee.com/cart.action
1、三处小的xss (鸡肋)

2、一处反射型的xss, 位于商城主页的搜索处(鸡肋)

http://mall.kingdee.com/search.action?k=%3Cscript%3Ealert%282%29%3B%3C%2Fscript%3E

3、后台盲打组织成员(较严重)
注册了两个帐号进行测试,用B账户申请加入A账户的组织中,盲打A账户!

申请加入A账户创建的组织中,当然也不非得是A账户的组织,也可以是任意的组织!所以才会出现盲打任意组织账户!
A账户当后台查看B账户的申请记录的时候,B账户的用户名处的xss跨站被触发。

参见:https://bugs.shuimugan.com/bug/view?bug_no=94923

 

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

FLy_鹏程万里

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值