UEditor編輯器存儲型XSS漏洞挖掘

前言

UEditor是由百度web前端研發部開發的所見即所得富文本web編輯器，具有輕量，可定製，注重用戶體驗等特點。UEditor存在一個XSS漏洞，編輯器在定義過濾規則的時候不嚴和讀取內容的時候的繞過導致了該漏洞，目前此漏洞已經上報。

漏洞成因分析

漏洞文件產生在前端配置文件ueditor.config.js：

以下爲純文本粘貼爲true時的過濾規則，對一些危險的標籤沒有做過濾，怪不得好多二次開發的。

//純文本粘貼模式下的過濾規則//'filterTxtRules' : function{// function transP(node){// node.tagName = 'p';// node.setStyle;// }// return {// //直接刪除及其字節點內容// '-' : 'script style object iframe embed input select',// 'p': {$:{}},// 'br':{$:{}},// 'div':{'$':{}},// 'li':{'$':{}},// 'caption':transP,// 'th':transP,// 'tr':transP,// 'h1':transP,'h2':transP,'h3':transP,'h4':transP,'h5':transP,'h6':transP,// 'td':function(node){// //沒有內容的td直接刪掉// var txt = !!node.innerText;// if(txt){// node.parentNode.insertAfter(UE.uNode.createText(' '),node);// }// node.parentNode.removeChild(node,node.innerText)// }// }//}

如下圖，在官方文檔裏也進行了說明，通過getContent和setContent方法用

標籤讀取編輯器內容

#通getContent和setContent方法可以設置和讀取編輯器的內容varue = UE.getEditor;//對編輯器的操作最好在編輯器ready之後再做ue.ready(function{//設置編輯器的內容ue.setContent('hello');//獲取html內容，返回: <p>hello</p>//獲取純文本內容，返回: hellovartxt = ue.getContentTxt;});

HTML中的p標籤爲段落標籤，目前所有主流瀏覽器都支持

標籤。

從編輯器裏的左上角顯示html可以看出，是帶有

標籤的，所以在標籤內寫入payload是不被執行的