Xiuno BBS 4.0.4 后台 设置->基本设置-> 站点名称 过滤不严 存在xss漏洞。 站点名称处输入

xss payload "><svg/onload=alert(0)>.

保存设置，刷新页面，可以看到xss漏洞触发。

admin/route/setting.php第37-38行代码，修改替换。

$sitename = htmlspecialchars(param('sitename', ''), ENT_QUOTES);
$sitebrief = htmlspecialchars(param('sitebrief', ''), ENT_QUOTES);

附件详情

×

付费附件下载时将自动扣除对应金额，请确认后再下载。

附件名称

-

附件大小

-

下载次数

-

最后更新

-

附件售价

-

账户余额

-

充值

下载操作

立即下载

确认后将按附件设置自动扣费或直接下载

关闭