APP安全之胖虎一处XSS(后台交易金额达400w人民币)

漏洞概要 关注数(7) 关注此漏洞

缺陷编号： WooYun-2016-192763

漏洞标题： APP安全之胖虎一处XSS(后台交易金额达400w人民币)

相关厂商： 胖虎（北京）科技有限公司

漏洞作者： 小龙

提交时间： 2016-04-05 17:12

公开时间： 2016-05-20 17:20

漏洞类型： XSS 跨站脚本攻击

危害等级： 高

自评Rank： 20

漏洞状态： 未联系到厂商或者厂商积极忽略

漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系

Tags标签： 持久型xss 存储型xss XSS

0人收藏

漏洞详情

披露状态：

2016-04-05： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-05-20： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

胖虎网是一个为二手奢侈品卖家和消费者提供查询，评估，鉴定，回收，寄售等各种专业服务的移动APP，致力于让用户手中的闲置二手奢侈品流动起来，打造一个安全可靠便捷实惠的二手奢侈品交易平台。
胖虎网是国内首家C2B2C形式的二手奢侈品电子商务网站，针对卖家及买家提供专业细致的点对点服务，教你买帮你卖，对回收或者寄售的二手奢侈品进行鉴定、保养后
　　，在胖虎网站和胖虎APP以及各实体店进行销售，并对售出的商品提供售后和回购的服务。
　　胖虎网已具备成为中国二手奢侈品行业协会理事单位的全部资格，在产品投入运营之后，将正式成为协会理事单位。
胖虎是国内首家C2B2C形式的二手奢侈品电子商务网站，针对卖家及买家提供专业细致的点对点服务，教你买帮你卖，对回收或者寄售的二手奢侈品进行鉴定、保养后
　　，在胖虎网站和胖虎APP以及各实体店进行销售，并对售出的商品提供售后和回购的服务。 如果你有闲置奢侈品，只要在胖虎平台上传图片发布，即可轻松变现；如果你想买奢侈品，又荷包不足，即可登录胖虎挑选您中意的低价奢侈品。[1-2]

详细说明：

location : http://www.ponhu.cn/index.php/Adminph/Yijian/index
 toplocation : http://www.ponhu.cn/index.php/Adminph/Yijian/index
 cookie : PHPSESSID=n5nd4q3ankvvrgi9kd7rqut8p7

漏洞证明：

修复方案：

版权声明：转载请注明来源 小龙@乌云

漏洞回应