startbbs的一个bug

今天我看了下sb的源码，发现很多地方都没有xss过滤。如下：

$this->input->post('username')；

这种情况下可以轻松的提交js代码。

比如：我将个人信息中个人简介添加一段代码。

<script type="text/javascript">

alert("xss攻击,去百度吧");

window.location.href="h t t p://www.baidu.com";

</script>

保存。

然后你可以去回复别人的帖子，当别人点击你的名字时，就会先弹出窗口，“确定”之后跳到百度。我的版本是v.1.15。我去官网看了下，这个bug已经修复了。但是之前的版本应该都存在这个bug。希望作者及时更新吧，加油。