JYmusic 是一款开源的跨平台音乐管理系统。
有着清新的界面和强大的功能。
jymusic界面
在2.0版本中发现了一个可以打管理员cookie的漏洞
利用条件
1.登录会员
2.认证音乐人
上传音乐时，抓包，修改name或者cover_url参数
值为：
XSS"><script>alert(document.cookie)</script>>
此时提交的音乐就会存储到数据库中，由于name和cover_url没有过滤，导致在后台管理员审核的时候会触发一个XSS
效果
后台审核处触发
如果通过审核了前台也会大面积触发
前台触发
前台触发
这个问题在V2.0以下版本都存在（目前所有版本通杀）
建议存在问题的站长及时修复。
