知名網路電視軟體 PPStream 官方網站（全球排名 589）被發現存在跨站腳本（XSS）漏洞。測試者在節目搜尋欄輸入 <script>alert("fhod")</script> 後，雖然腳本被轉為大寫且未直接彈窗，但改用 <iframe src=https://www.ciker.org/ width=200 height=200></iframe> 成功載入外部頁面，證實漏洞存在。

漏洞細節

• 注入點：主頁節目搜尋參數 key 及進階搜尋參數 search_text。
• 後端錯誤：Oracle Text 解析錯誤（DRG-50900, DRG-50905），顯示輸入未經過濾直接帶入 SQL 查詢：
  select count(channel_name) from pps_channel_info where contains(playbill,:0,1)>0
• 利用方式：將 width、height 設為 0，src 指向惡意網馬頁面，編碼後傳送給受害者點擊，極難被察覺。

影響與建議

攻擊者可透過此漏洞竊取用戶 Cookie、植入木馬、釣魚等。官方應立即修補：對所有使用者輸入實施嚴格過濾與編碼，採用參數化查詢，並部署 Web 應用程式防火牆（WAF）。用戶在官方修復前，建議避免點擊不明來源的 PPStream 相關連結。