CCW 手机版player无校验立即执行漏洞

[BenPaoDeXiaoZhi]

攻击者可构造https://www.ccw.site/player/oid?autorun=1&fullscreen=false
格式的url，利用手机版不弹出扩展警告的漏洞进行恶意脚本执行
未发现大范围在野利用

[BenPaoDeXiaoZhi]

已报告，官方周末休息，暂未回复

[bddjr]

漏洞演示: https://www.ccw.site/player/6a5309e5d4bf1642fe07b93c?autorun=1&fullscreen=false

[BenPaoDeXiaoZhi]

此漏洞很久以前便已存在，可能被大范围知晓

[bddjr]

感觉他们修漏洞的方法非常敷衍，如果不是有人强调，他们根本不会给gandi页面加上detail页面同款扩展加载警告

[bddjr]

暂不清楚他们到底留了多少个看作品的页面。

此外，他们近期强制所有作品登录再看的办法也非常敷衍，作品都加载完了，手动点运行的时候才要求登录，而不是和之前的“未登录禁止游玩”功能合并。

我不理解修复者什么思路，也许是想偷懒吧。

但是这真能偷懒吗？这难道不是事倍功半吗？这很令人疑惑

[bddjr]

目前暂不清楚 embed 页面是否同样存在未警告执行任意代码的漏洞，虽然embed页面至少要点1下才会加载并运行作品

[BenPaoDeXiaoZhi]

embed之前我测试了一下，是有一个弹出窗口的，但是由于iframe的原因有时候弹出窗口会显示不出来导致没法启动

[bddjr]

我没在iframe里尝试embed页面，我直接在新标签页打开了。
我昨晚实测点击封面或“立即运行”没有任何反应，点击标题会在新标签页打开detail页面