搜狗的视频搜索可xss
由于引用第三方内容且缺乏过滤造成xss
搜狗的视频搜索中,用户评论获取的是豆瓣电影上对应的片名,在豆瓣电影中发表标题 <script>alert('111111111111111111');</script> 的影评,可以成功造成搜狗视频xss,多的不说了。
http://video.sogou.com/v?query=%B5%E7%D3%B0+%CC%EC%B2%C5%D1%DB%BE%B5%B9%B7&typemask=6&p=&dp=&w=06009900&_asf=video.sogou.com&_ast=1396584117&dr=&enter=1
修复方案:
给部门哥们加工资吧,不然他们不会认真工作把安全做好!!
版权与免责声明:
凡注明稿件来源的内容均为转载稿或由网友用户注册发布,本网转载出于传递更多信息的目的;如转载稿涉及版权问题,请作者联系我们,同时对于用户评论等信息,本网并不意味着赞同其观点或证实其内容的真实性;