CWE-79 Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

[0x30Rizk]

描述您遇到的bug
DOM XSS存在資料庫查詢語句中，wecube v3.2.2

如何重现 ` 輸入 select < b onmouseover="window['ale'+'rt']('DOM XSS')">hello

或

select < b onmouseover='alert("XSS")'>hello ` Notes:請刪除< 空格 预期行为 javascript允許執行,可以竊取cookie

截图

附加