有道Chrome浏览器划词插件xss漏洞漏洞预警（通用2篇）
篇1：有道Chrome浏览器划词插件xss漏洞漏洞预警
简要描述：
有道词典划词翻译（chrome插件），选中特殊构造的文字时，进行划词翻译，并执行了相关代码，
详细说明：
也许你只是想复制以上代码,而选中他们，并不是想划词翻译
有道词典插件版本：1.0
cidian.youdao.com/chromeplus/
漏洞证明：
happytreebb.lofter.com/post/1a143d_51816e
篇2：有道Chrome浏览器划词插件xss漏洞漏洞预警
/wp-content/plugins/pinglunla/relay.php?sid=ec51555f3e5e125257457a73609bdbe15cb7c29d“>
2.
通过一个精心构造的URL, 可以任意篡改储存在数据库的SID 值. SID 是评论啦用于识别用户身份的标识.
详细说明：
/wp-content/plugins/pinglunla/relay.php?sid=new sid here
以上URL是用来接收PINGLUNLA服务器的回调, 参数sid会被值”new sid here"替换保存至数据库, 因为没有做任何认证, 匿名用户可以任意调用该接口进而篡改sid.
漏洞证明：
www.alibuybuy.com/wp-content/plugins/pinglunla/relay.php?sid=new sid here
修复方案：
除了等待官方修复, 或可临时修改你的文件夹名称, 如wp-content, plinglunla, 以免被猜解.