淘宝网触屏版存储型XSS漏洞

1.测试浏览器:uc浏览器

2.手机登录m.taobao.com进入触屏版淘宝

3.随便搜索一个商品

4.点击联系卖家

5.触发

payload:

/><script>alert("1")</script>

愿与君共勉

爱wooyun

爱川神

爱狗哥

爱fighter

不爱剑心

厂商回应：

危害等级：中

漏洞Rank：10

确认时间：2014-09-28 11:41

厂商回复：

感谢您对我们的支持与关注，该问题我们正在修复。

最新状态：

2014-09-28：亲，补充一下，该业务自身有相关策略。这个漏洞只能影响到自身，无法危害到其他用户。

1. 2014-09-28 11:45 | xyang ( 普通白帽子 | Rank:350 漏洞数:82 | stay hungry stay foolish)

   0

   "其他说明：亲，原谅我的愚昧无知，没找到联系客服，请完善细节，便于审核，同时您是第一位试用该打回编辑功能的用户",这是大wooyun的测试吧~

   1# 回复此人

2. 2014-09-28 14:04 | char ( 路人 | Rank:13 漏洞数:3 | 中国平安，不只保险这么简单。)

   0

   淘宝就酱紫，给到他们平台就各种搞人。

   2# 回复此人

3. 2014-10-29 08:52 | ki11y0u ( 普通白帽子 | Rank:140 漏洞数:28 | 好好学习，求带飞 ~~~~~~~~~~~~~~~~~~~~~~...)

   0

   白客兄~

   3# 回复此人

4. 2014-10-29 20:28 | Jumbo ( 普通白帽子 | Rank:132 漏洞数:33 | 猫 - https://www.chinabaiker.com)

   0

   @ki11y0u O(∩_∩)O

   4# 回复此人