搜狗视频搜索存储型XSS漏洞下载

来源:黑吧安全网 浏览:731次 时间:2014-05-22
做网站找雨过天晴工作室

搜狗的视频搜索可xss
由于引用第三方内容且缺乏过滤造成xss

搜狗的视频搜索中,用户评论获取的是豆瓣电影上对应的片名,在豆瓣电影中发表标题 <script>alert('111111111111111111');</script> 的影评,可以成功造成搜狗视频xss,多的不说了。

http://video.sogou.com/v?query=%B5%E7%D3%B0+%CC%EC%B2%C5%D1%DB%BE%B5%B9%B7&typemask=6&p=&dp=&w=06009900&_asf=video.sogou.com&_ast=1396584117&dr=&enter=1

修复方案:

给部门哥们加工资吧,不然他们不会认真工作把安全做好!!