作者:sfcuboy

创建圈子和编辑圈子时未对圈子的描述内容进行过滤。可以插入外部JS文件引用。管理员在查看后台圈子列表时中招。运行外部JS文件从而修改站点配置。允许上传php,asp文件等。

DedeCMS 5.7圈子XSS跨站可拿WebShell

外部JS文件内容

DedeCMS 5.7圈子XSS跨站可拿WebShell

漏洞证明:

DedeCMS 5.7圈子XSS跨站可拿WebShell

DedeCMS 5.7圈子XSS跨站可拿WebShell

留言评论(旧系统):

【匿名者】 @ 2011-12-10 10:57:08

图 挂了

本站回复:

恩,已修复,是从百度相册下载图片到服务器进行缓存的时候,生成了一个错误或者不完整的文件,一般是网络极差的时候才出现,几率极小,你能碰上,运气太好了。。。