Vulnerability Overview

ZDID: ZD-2024-01020
發信 Vendor: 噓迷子魔術工作室
Title: 噓迷子魔術工作室 Open redirect 漏洞及其引發的 XSS
Introduction: Open redirect and XSS

處理狀態

目前狀態

公開

Last Update : 2024/11/01

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2024/09/01 23:21:05 : 新提交 (由 CX330 更新此狀態)
2024/09/01 23:21:19 : 新提交 (由 CX330 更新此狀態)
2024/09/02 16:53:31 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/09/10 22:28:47 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/09/10 22:28:47 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/09/10 22:28:47 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2024/11/01 03:00:06 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2024-01020
通報者：CX330_Blake (CX330)
風險：中
類型：未驗證的 URL 轉址 (Unvalidated Redirects and Forwards)

參考資料

攻擊者可利用該漏洞將受害者導向至惡意網站。

OWASP Top 10 2010 - A10 - Unvalidated Redirects and Forwards
https://www.owasp.org/index.php/Top_10_2010-A10-Unvalidated_Redirects_and_Forwards

Unvalidated Redirects and Forwards Cheat Sheet
https://www.owasp.org/index.php/Unvalidated_Redirects_and_Forwards_Cheat_Sheet

CWE-601: URL Redirection to Untrusted Site ('Open Redirect')
http://cwe.mitre.org/data/definitions/601.html

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

種類

Open redirect

重現

訪問 https://www.himitsumagic.com.tw/advertising/clickadv.php?advid=98&url=https://cx330.tw
訪問https://www.himitsumagic.com.tw/advertising/clickadv.php?advid=98&url=javascript:alert(1)

影響

PoC of XSS

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

噓迷子魔術工作室 Open redirect 漏洞及其引發的 XSS - HITCON ZeroDay

Vulnerability Detail Report