漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-033513
漏洞标题：书朋网mobile网站设计缺陷
相关厂商：书朋网
漏洞作者： faceair
提交时间：2013-08-05 13:59
修复时间：2013-09-19 14:00
公开时间：2013-09-19 14:00
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：3
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-05： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-09-19： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
对未通过身份认证的照样输出接口，逻辑错误
详细说明：
书朋小说的收费内容需要登录才能查看，而对未认证的只是添加了错误提醒，没有进行过滤，原样输出接口的tid值，从而绕过收费
漏洞证明：
a2.cdn123.net/chapter/r5Q68jInSweizO3DR6KjPut-Ut0YET-J
修复方案：
身份认证后过滤输出tid
版权声明：转载请注明来源 faceair@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝