漏洞类型	XSS	发现时间	2023-11-15	漏洞等级	中危
MPS编号	MPS-hy21-w7s8	CVE编号	CVE-2023-48088	漏洞影响广度	一般

目录隐藏

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

XXL-JOB是一个基于java语言的分布式任务调度平台。XXL-JOB-Admin是该平台负责任务的创建、更新、删除和触发的管理组件。
由于在查询 /xxl-job-admin/joblog/logDetailPage 时，xxl-job-admin 会直接查询相关日志，不会进行转义和过滤直接输出日志文件内容。攻击者可以在日志文件中写入恶意 javascript ，远程诱导目标管理员用户查询恶意的日志文件，导致任意代码在浏览器中被触发，造成XSS攻击。
参考链接：https://www.oscs1024.com/hd/MPS-hy21-w7s8

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
参考链接：https://www.oscs1024.com/hd/MPS-hy21-w7s8

排查方式

方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html

方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html

方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html

更多排查方式：https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-hy21-w7s8

https://nvd.nist.gov/vuln/detail/CVE-2023-48088

https://github.com/xuxueli/xxl-job/issues/3329

XXL-JOB <2.4.0 XSS漏洞 (CVE-2023-48088)

漏洞危害

影响范围及处置方案

OSCS 平台影响范围和处置方案

排查方式

相关推荐

curl 存在 fopen 竞争条件漏洞 （CVE-2023-32001） [有POC]

Ingress-nginx configuration-snippet 代码注入漏洞 (CVE-2023-5043)

MLflow <2.9.2 任意文件读取漏洞（is_local_uri绕过） (CVE-2023-6977)

Telegram Windows客户端可执行文件限制不当RCE漏洞 (MPS-38wf-ilyv)

Apache ServiceComb Service-Center SSRF漏洞 (CVE-2023-44313)

curl 存在 fopen 竞争条件漏洞（CVE-2023-32001） [有POC]