SurveyCake stored XSS

 

2022 9/3 發現surveycake表單有資安漏洞。是個很裸的 stored xss。

只要填表單的時候在文字區塞入 xss payload，表單管理員收到回覆，點開來看，帳號就被黑掉了。

像這樣:

那陣子參加很多活動，一堆回饋表單要填。好巧不巧都用 surveycake。

填表單的時候無聊玩看看有沒有 xss。

自己創表單，填的時候塞最陽春的<script>alert(document.domain)</script>

然後真的有。

哈哈，太酷了吧。沒想到2022年還有這種 low hanging fruit 可以拿。很不錯，慢慢建立信心。

回報給hitcon zeroday，完整報告在這裡:https://zeroday.hitcon.org/vulnerability/ZD-2022-00716

當時這是我通報過最有影響力的漏洞，蠻開心的。

雖然漏洞最後有修好，過程中沒有收到任何廠商的回饋，感覺有點可惜。