淘宝装修可引用外部js文件

简要描述：               
淘宝装修页对js过滤不严可使用户引用外部js文件，可获得其它淘宝用户的cookies、修改自己的店铺的评论，宝贝卖出去的数量等。
; D( e% ~0 {' _% _& y& j+ J. S# b1 j详细说明：                                       
在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图

! W  e: }- ~3 V! Q修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~
) X$ h0 N3 C2 _  \
然后上一张修改后的页面图

1 f; d* j- {% @9 C+ }4 E) Q6 d3 T再上个成品的URL，可以直接从firebug里面查看用户的外部js文件
+ h4 N8 T( B% ~/ [" Q' C% ~  [
漏洞证明：                       
9 z0 ~5 O" ^+ v6 A# Q9 s' m/ G在淘宝装修页那边的有个背景图片上传，只要通过firebug进行修改里面的值，然后进行上传就可以直接修改里面的值，直接上图


修改后就可以直接在页面出现一个自己引用的外部js文件，然后自己的外部js文件可以自己随便编辑，想获取用户的cookies还是修改好评和坏评都是手到擒来的事了~

然后上一张修改后的页面图

: R$ q1 d: ^: Y4 g+ E再上个成品的URL，可以直接从firebug里面查看用户的外部js文件

我来个吧

谢谢，希望有用

11111111111111

牛B的网站，我喜欢

dddddddddddddddddd

12345678910111213141516

看看~~~~~~~~~

好东西，支持了、

了解一下了

路过看看