Wenyi Li

  2022 9/3 發現surveycake表單有資安漏洞。是個很裸的 stored xss。 只要填表單的時候在文字區塞入 xss payload，表單管理員收到回覆，點開來看，帳號就被黑掉了。 像這樣: 那陣子參加很多活動，一堆回饋表單要填。好巧不巧都用 surveycake。 填表單的時候無聊玩看看有沒有 xss。 自己創表單，填的時候塞最陽春的<script>alert(document.domain)</script> 然後真的有。 哈哈，太酷了吧。沒想到2022年還有這種 low hanging fruit 可以拿。很不錯，慢慢建立信心。 回報給hitcon zeroday，完整報告在這裡: https://zeroday.hitcon.org/vulnerability/ZD-2022-00716 當時這是我通報過最有影響力的漏洞，蠻開心的。 雖然漏洞最後有修好，過程中沒有收到任何廠商的回饋，感覺有點可惜。