前言
Web主机云处事供给商Wix.com存在Dom型XSS缝隙，该缝隙可以让打击者控制在该平台上托管的任何一个网站。
Contrast Security的高级安适研究员Matt Austin暗示，“只需要在Wix上创建的网站上添加单个参数，打击者可以让他们的恶意JavaScript代码在该网站上加载执行。”
Austin说，尽管早在十月份的时候就已经把缝隙信息向Wix传递，但是截止到本周三这个缝隙仍然没有被修复。Wix.com也没有对这个呈报发表过任何答复。据Wix.com官方统计，在该平台共计8600万用户。
据OWASP呈报显示，此缝隙差别于传统的XSS缝隙（payload存储于一个HTTP(S)请求的响应页面中），DOM型XSS缝隙通过客户端脚本改削用户浏览器中文档东西模型（DOM）环境，并且恶意代码会影响客户端代码的执行。
场景分析
Austin分析了2种反射DOM型XSS缝隙的打击场景。此中一种是诱导Wix网站所有者点击一个恶意的URL链接。这个URL会加载一个精心结构的JavaScript代码劫持受害者浏览器的session信息。
随后打击者可以侵占受害者的浏览器session，这样他就可以像本来的用户那样，执行任意的操纵了。打击者可以对受害者原先掌控着的Wix网站进行改削，例如向第三方供给网站打点员的权利，或渗透一个Wix电子商务站点来窃取信用卡号码。
Austin说，拥有Wix.com站点的打点员控制权限后，就能分发恶意软件，创建一个动态的、漫衍式的、基于浏览器的僵尸网络，窃取网络货币，并控制网站的内容和使用它的用户。
在Austin描述的第二个场景中，可以运用一个精心结构的URL，将用户诱导进入一个Wix网站。该URL通过一个DOM型的XSS打击，将JavaScript加载到方针的Wix.com网站中。在某种情境中，通过浏览器的session信息，可以对一个Wix.com的粉丝网站进行改削，从而将音乐下载替换为恶意软件下载，或者将PayPal付出从头定向到第三方帐户。
在DOM XSS打击的案例中，打击者需要做的就是在处事器上安插恶意的JavaScript，并用一个URL指向它。例如：“http：//matt4592.wixsite.com/music?ReactSource=http：//m-austin.com“。在这个例子中，根域名”http：//matt4592.wixsite.com/music”后面嵌入了附加的“?ReactSource=http：//m-austin.com”， 这为基于DOM的XSS打击供给有效载荷缔造了条件。
跋文
Contrast Security暗示，更糟糕的是，操作这种缺陷，网络罪犯可以对打击进行扩张，把它酿成一个蠕虫，从而在所有的Wix网站中流传，这将类似于2005年时污名昭著的Samy蠕虫和MySpace蠕虫——被设计用来针对整个社交网站。
Austin说，前车之鉴报告我们，想要接管托管在Wix的数以百万计的网站，其实并不需要花太长的时间。