Buzzurl 動画検索 — XSS

2007-02-07

buzzurl.jp/video の動的な検索結果出力で HTML エンティティが未エスケープだった XSS。運営元(EC ナビ)へ直接報告したところ、約8時間後(翌日未明)に代表本人から「すぐに対応させて頂きました」と返信があった。

http://buzzurl.jp/video?search_mode=video&query=<iframe src="javascript:alert('test');">