某电竞俱乐部小程序投诉陪玩与客服对话文件上传 XSS（两个）

前言

本次测试属于公益类型的 SRC

XSS

在投诉页面发现可以上传图片

选择上传一个含有 XSS 代码的 HTML 文件，将后缀和类型改为 PNG

上传成功，访问响应包里的回显路径

成功弹窗

另外一个则是在与客服对话中

也是一样的，在响应包中可以看到 URL