JAVA代码审计3·某XXX博客系统
💡
原文中文，约800字，阅读约需2分钟。
📝
内容提要
本文介绍了博客系统存在的管理员账号注册绕过漏洞和存储型XSS漏洞，攻击者可添加新用户并注入恶意代码实现攻击。仅供安全研究与学习之用，风险自负。
🎯
关键要点
- 本文介绍了博客系统的管理员账号注册绕过漏洞和存储型XSS漏洞。
- 攻击者可以通过绕过漏洞添加新用户并注入恶意代码进行攻击。
- 文章仅供安全研究与学习之用，使用者需自行承担风险。
- 博客系统主要技术为SpringBoot、MyBatis和Thymeleaf，采用传统三层模式。
- 管理员账号注册绕过漏洞允许未注册用户通过特定路径访问并注册账号。
- 系统未使用权限框架进行登录验证，导致安全隐患。
- 存储型XSS漏洞允许攻击者在博客设置中注入恶意JavaScript代码。
- Thymeleaf中的utext未对XSS进行过滤，导致恶意代码得以执行。
➡️
