文章写得有点晚，漏洞是前几天看到的。

漏洞大致情况是在人人网发布日志的时候，在插入图片地址的地方放入人人网登出连接。（如果想做点修饰的话，可以把地址转化为短地址），然后发表日志。所有浏览了该日志的用户全部都自动登出了。

我刚测了不到半小时，想看看还有什么其他的利用价值的时候，漏洞就被补上了。如果把地址换成新浪微博的登出地址，浏览后新浪微博也同样会被登出，应该请求图片的时候，访问了那个地址，把session给清空了，但其他操作都不能执行。