当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2016-0226294

漏洞标题:拍鞋网某功能存在未授权访问漏洞

相关厂商:paixie.net

漏洞作者: 路人甲

提交时间:2016-07-07 09:45

修复时间:2016-07-07 10:54

公开时间:2016-07-07 10:54

漏洞类型:未授权访问/权限绕过

危害等级:高

自评Rank:10

漏洞状态:漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2016-07-07: 细节已通知厂商并且等待厂商处理中
2016-07-07: 厂商已经主动忽略漏洞,细节向公众公开

简要描述:

就是想买个鞋子 来看看

详细说明:

首先我注册了两个账号方便我测试 账号1:990099001@qq.com 账号2:99009902@qq.com
可能职业病吧 老爱看看收货地址那有没有什么好玩的

于是我就拿我的测试账号1来修改收货地址抓包看看

拍鞋网1.png

看到下面那一部分好像有点什么好玩的 我试试测试账号2也做同样的事情

拍鞋网2.png

好显眼啊 这数字貌似都能改 我改成测试账号1的数字试试

已修改.png

我勒个去A.A 我的名字咋变成测试账号1的名字了

已修改.png

我再试试其他数字 唔.....比如 1

变变变2.png

果然又变了..... 后面的几串数字是否还能泄露 地址电话等信息呢? 急着买鞋子.....就不深入了 希望及时修复!

漏洞证明:

见详细说明

修复方案:

你们比我更懂!

版权声明:转载请注明来源 路人甲@乌云


漏洞回应

厂商回应:

危害等级:无影响厂商忽略

忽略时间:2016-07-07 10:54

厂商回复:

您这边转成正常文字,你会发现,这个%E6%B5%8B%E8%AF%951中文字是测试1
这个%E6%B5%8B%E8%AF%952的中文字是测试2;
您这边修改的字符串相当于,你自己在文档本输入,不存在漏洞.

最新状态:

暂无