漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-011389
漏洞标题：任意QQ秒点QQ旋风图标
相关厂商：腾讯
漏洞作者： px1624
提交时间：2012-08-27 10:07
修复时间：2012-08-28 14:16
公开时间：2012-08-28 14:16
漏洞类型：设计缺陷/逻辑错误
危害等级：低
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-08-27： 细节已通知厂商并且等待厂商处理中
2012-08-28： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
非本人发现，有人QQ告诉俺，俺验证了下，确实存在漏洞。和之前秒点QQ西游、DNF图标的原理一样，直接绕过就可以点亮了，之前那两个腾讯都忽略了，不知道这个会不会、、、
详细说明：
首先，俺认为腾讯不应该忽略此类漏洞。
1 虽然此类问题，严格来说不属于安全漏洞，但是是属于设计的逻辑缺陷的。
2 此类漏洞，可以被利用去进行买卖从而获利，所以并不是没有利用价值。
漏洞证明：
实现方法：
1 任意打开一个qq.com域名的网站，登录获取cookie
2 打开地址 http://xiazai.qq.com/xiazai/front.php/index/index_c/xfscore
3 点击我要点亮即可，无延迟，秒亮的
证据图如下
修复方案：
稍微做下限制下就可以了。希望腾讯不要忽略、、、
版权声明：转载请注明来源 px1624@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2012-08-28 14:16
厂商回复：
你好，根据评估该问题不属于安全漏洞，根据评估标准故忽略，仍然感谢你及wooyun平台的反馈。
最新状态：
暂无