【漏洞预警】MetInfo 6.x 全版本XSS 通杀

Exp:

http://xxx.com/admin/login/login_check.php?xxxxxxxxxxxxxxxxxxxxxxxx  (次数省略几个字)

影响版本:

6.0.0

6.1.0

6.1.1

6.1.2

6.1.3

无需登录，访问上述链接可以在后台直接X。当管理登录后台时，切换到“安全与效率”界面，XSS可自动触发。

漏洞分析：就不分析了

宝塔WAF 的防御规则如下：

^url_array\[.*\]$

URL 参数过滤和 POST 过滤两个地方添加如上规则

更新到宝塔WAF最新版也可以。内置了规则

防御效果如下：

虽然看不懂，但还是要给你点个赞。