黑客雇佣平台（网上找真正的黑客）百度知道百度知道存在反射型XSS,可以做诱惑点击导致蠕虫。http://zhidao.baidu.com/utask/qb/info?callback= 1.加强过滤。2.JSON接口存在风险：JSON接口需要设置Content-Type 添加：header(Content-type: application/json);这样
<漏洞存在的产品对象>
百度知道
<危害>
百度知道存在反射型XSS,可以做诱惑点击导致蠕虫。
<重现方法>
http://zhidao.baidu.com/utask/qb/info?callback=
<修复建议>
1.加强过滤。
2.JSON接口存在风险：
JSON接口需要设置Content-Type 添加：header('Content-type: application/json');
这样即使JSON接口存在跨站漏洞，攻击者也难以利用。
-
发表于 2021-04-10 11:45
- 阅读 ( 216 )
- 分类：互联网
