CVE-2020-13889

作者：Andre k Lorenci 联系方式：[email protected] CVE-2020-13889 你好，此漏洞存在于 bludit 后台管理面板中的一个名为 showAlert 的函数中。当在 DOM 中调用该函数时，允许用户定义要在消息框中弹出的文本。但该函数没有任何过滤机制，用户可以在页面中注入任意 JavaScript 代码甚至 HTML。 为了演示该函数的返回值，我使用了 Web 开发工具包，将一个 XSS 代码作为该函数的参数传入。 使用的 payload 为： showAlert"alert1"; 我测试的版本是 Bludit 3.x。 谢谢。...