Turbomail邮件系统一处存储型xss

### 简要描述： Turbomail邮件系统存在一处xss存储型漏洞。 ### 详细说明： Turbomail邮件系统存在一处xss漏洞，可以利用此漏洞获取客户邮箱cookie。 参照 [WooYun: Coremail邮件正文存储型XSS漏洞（浏览器攻击技巧）](http://www.wooyun.org/bugs/wooyun-2015-090304) 漏洞测试代码：<link rel=import href=http://mhz.pw/game/SOP/01.php> 漏洞测试环境：Google浏览器。 漏洞效果如图(1)(2)，为了证明普遍型特选用两种不同域名的邮箱测试： [<img src="https://images.seebug.org/upload/201503/20211305e66e3cfc8077866d741f04cc1c290528.png" alt="QQ图片tur120150320211217.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201503/20211305e66e3cfc8077866d741f04cc1c290528.png) 图二： [<img src="https://images.seebug.org/upload/201503/20211330f56787a1d9ca1b22766161b3b3a8dbba.png" alt="QQ图片tur220150320211251.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201503/20211330f56787a1d9ca1b22766161b3b3a8dbba.png) ### 漏洞证明： Turbomail邮件系统存在一处xss漏洞，可以利用此漏洞获取客户邮箱cookie。 参照 [WooYun: Coremail邮件正文存储型XSS漏洞（浏览器攻击技巧）](http://www.wooyun.org/bugs/wooyun-2015-090304) 漏洞测试代码：<link rel=import href=http://mhz.pw/game/SOP/01.php> 漏洞测试环境：Google浏览器。 漏洞效果如图(1)(2)，为了证明普遍型特选用两种不同域名的邮箱测试： [<img src="https://images.seebug.org/upload/201503/20211305e66e3cfc8077866d741f04cc1c290528.png" alt="QQ图片tur120150320211217.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201503/20211305e66e3cfc8077866d741f04cc1c290528.png) 图二： [<img src="https://images.seebug.org/upload/201503/20211330f56787a1d9ca1b22766161b3b3a8dbba.png" alt="QQ图片tur220150320211251.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201503/20211330f56787a1d9ca1b22766161b3b3a8dbba.png)