jymusic V2.0 前台XSS漏洞

JYmusic 是一款开源的跨平台音乐管理系统。

有着清新的界面和强大的功能。

jymusic界面

在2.0版本中发现了一个可以打管理员cookie的漏洞

利用条件

1.登录会员

2.认证音乐人

上传音乐时，抓包，修改name或者cover_url参数

值为：

XSS"><script>alert(document.cookie)</script>>

此时提交的音乐就会存储到数据库中，由于name和cover_url没有过滤，导致在后台管理员审核的时候会触发一个XSS

效果

后台审核处触发

如果通过审核了前台也会大面积触发

前台触发 前台触发

这个问题在V2.0以下版本都存在（目前所有版本通杀）

建议存在问题的站长及时修复。