漏洞类型: 存储型HTML注入 受影响网址: /edit_profile 脆弱参数: first_name and last_name 字段 脆弱组件: 用户资料更新页面 漏洞详情 - 类型: 存储型HTML注入 - 影响网址: /edit_profile - 脆弱参数: first_name and last_name字段 - 脆弱组件: 用户资料更新页面 漏洞类型 - 不当输入核对在网页生成时 (HTML注入) - CWE ID: CWE-79 - 严重等级: 中等 - CVSS 分数: 5.4(中等) 漏洞原因 - 应用程序使用了一个不完全的黑名单过滤器来预防跨站脚本(XSS) - 过滤器成功地移除了或核对了标签和其他常见事件处理器(如onerror) - 但是无法处理其他标准HTML标签(如和) - 攻击者可以往“First Name”和“Last Name”字段内注入恶意HTML,而后存储在数据库,并在展示用户名的页面上渲染 影响 - 虽然直接代码执行能被过滤器防止,但是HTML注入依然可能是恶意攻击点 - 钓鱼攻击与网站篡改 概念验证 - 通过在用户名首字母注入一个超链接证明漏洞的存在 建议修复方案 - 对输出上下文编码,对所有用户提供的数据当作文本处理 - 加强输入验证 参考 - OWASP Cross-Site Scripting (XSS) Prevention Cheat Sheet - CWE-79: Improper Neutralization of Input During Web Page Generation