社区让 CSRF 了？

[iiusky]

昨天晚上登录v2ex，突然发现让黑了。随后微博私信了站长，他说我css开了，可是我昨天只是上传了个头像。css什么的都没有填写。没有使用css,
今天登录上来看了下我的设置，css里面有内容，我肯定。。我css里面没有进行过任何填写！

div { display: none; }
body { background-repeat: no-repeat; background-color: #fff; background-image: url(""); }

本来今天想看看到底是那篇文章里面有猫腻，，但是，，昨天打开v2的网页太多了。。


哪位大神在玩？：》

[mornlight]

不科学啊，如果真的是帖子里有问题，应该很多人中招才对。

[iiusky]

@mornlight = =！我页不清楚。。所以问问大家

[can]

应该不是帖子的问题，是你账号密码被别人知道了吧？

[zzNucker]

@mornlight XSS，只针对楼主一个人。。。

[iiusky]

@can =.=
@zzNucker 噗。。。我和他有多大仇

[bumz]

<form action="http://www.v2ex.com/settings" method="POST">
<input name="use_my_css" value="1">
<textarea name="my_css">
div { display: none; }
body { background-repeat: no-repeat; background-color: #fff; background-image: url(""); }
</textarea>
<button type="submit">XSRF V2EX</button>
</form>

[iiusky]

@bumz 呀呀呀亚麻爹

[bumz]

@iiusky 我試了不行啊，https://workspace.v2ex.com/file/27bc8b42-5e64-11e4-9bdd-f23c91732dc3/xsrf.html

[bumz]

@iiusky 沒有 once 參數提交不了，所以不能 XSRF。

[iiusky]

@bumz 是啊 好奇怪。