WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-017894

漏洞标题：朵朵网-时尚购物修改任意用户资料

相关厂商：朵朵网-时尚购物

漏洞作者： xfkxfk

提交时间：2013-01-25 21:10

修复时间：2013-03-11 21:11

公开时间：2013-03-11 21:11

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2013-01-25： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-03-11： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

朵朵网-时尚购物可修改任意用户资料，如修改收货地址，个人资料等。。。
你说严重不？我也不知道，所以提交了。。。

详细说明：

攻击者：xfkxfk
受害者：test，收货地址编号1794。

===修改任意用户收货地址。===

http://www.duoduo.com.cn/?member-1794-modifyReceiver.html

http://www.duoduo.com.cn/?member-1794-modifyReceiver.html

删除收货地址信息url：
http://www.duoduo.com.cn/?member-1794-delRec.html

设置地址为收货人默认地址url：
http://www.duoduo.com.cn/?member-1794-2-setDefault.html

a、这里我们可以看到注册用户的详细收货信息，已经是敏感信息泄露了。
b、更重要的是，我把地址修改成我的，并且在这里我们可以把它设为默认收货地址，大意的用户只要选择默认收货地址我就可以再家里坐等收货了。。。
c、这里我什么也没做，只是测试了一下，不要封我号啦。。。

=====修改结果见漏洞证明=====

漏洞证明：

修复方案：

版权声明：转载请注明来源 xfkxfk@乌云

漏洞回应