遊戲橘子新楓之谷活動頁面 URL Parameter XSS

Vulnerability Overview

ZDID: ZD-2025-00585
發信 Vendor: 遊戲橘子數位科技股份有限公司
Title: 遊戲橘子新楓之谷活動頁面 URL Parameter XSS
Introduction: 使用者可透過 message URL 參數注入惡意 HTML 或 JavaScript，因為該參數內容被未經轉義地插入至網頁中，導致反射型 XSS 漏洞。

處理狀態

目前狀態

公開

Last Update : 2025/08/15

新提交
已審核
已通報
未回報修補狀況
未複測
公開

處理歷程

2025/06/15 21:21:11 : 新提交 (由更新此狀態)
2025/06/16 09:36:18 : 新提交 (由更新此狀態)
2025/06/16 16:44:18 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/06/20 17:04:36 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/06/20 17:04:36 : 審核完成 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/06/20 17:04:36 : 修補中 (由 HITCON ZeroDay 服務團隊更新此狀態)
2025/08/15 03:00:13 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

ZDID：ZD-2025-00585
通報者：Hundao ()
風險：高
類型：基於 DOM 的 XSS (DOM-based Cross-Site Scripting)

參考資料

攻擊者可經由該漏洞竊取使用者身份，或進行掛碼、轉址等攻擊行為。

漏洞說明： OWASP - Cross-site Scripting (XSS)
https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)

防護原則：
https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet

XSS 防禦繞過方式：
https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet

(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

敘述

前端的網頁程式碼片段

function getUrlParameter() {
    const urlParams = new URLSearchParams(window.location.search);
    const message = urlParams.get("message");
    if (!message) {
        return;
    }
    const success = document.querySelector("#success");
    if (!success) {
        return;
    }
    success.innerHTML = message;
    showReserveModal();
    const uiButtonSignout = document.querySelector(".ui__btn-signout");

很明顯看到他直接拿 url paramter 放進 innerHTML，可以很輕鬆地做到 XSS，比如說
https://maplestory-event.beanfun.com/Event/E20250614/index.html?message=%3Cimg%20src=x%20onerror=alert(%27XSS%27)%3E

擷圖

留言討論

聯絡組織

發送私人訊息

您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。

遊戲橘子新楓之谷活動頁面 URL Parameter XSS - HITCON ZeroDay

Vulnerability Detail Report