Emlog最新版本存储型XSS漏洞复现

Emlog存储型xss

注册用户，发布文章中插入恶意代码。点击保存文章，通过浏览文章获取到文章url
可导致用户包括网站管理员访问

复现过程:

以我自己搭建的emlog博客演示:
https://我爱.黑客.wang/admin

注册测试用户:
test@qq.com

发布文章

插入js代码，

然后保存草稿

点击预览文章获取文章URL

现在换管理员的账号，访问该文章的url

触发条件:

一.管理登录后台，可看到有个草稿

点击浏览即可触发

二、直接复制文章url发送给管理，也可以直接触发