漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-034054
漏洞标题：微信公众平台新申请正在审核的帐号可直接使用高级功能
相关厂商：腾讯
漏洞作者： WyMM．·っ
提交时间：2013-08-11 15:04
修复时间：2013-09-25 15:04
公开时间：2013-09-25 15:04
漏洞类型：未授权访问/权限绕过
危害等级：低
自评Rank：6
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-08-11： 细节已通知厂商并且等待厂商处理中
2013-08-13： 厂商已经确认，细节仅向厂商公开
2013-08-23： 细节向核心白帽子及相关领域专家公开
2013-09-02： 细节向普通白帽子公开
2013-09-12： 细节向实习白帽子公开
2013-09-25： 细节向公众公开
简要描述：
微信公众平台为保证平台的河蟹，会对新注册的用户进行审核，提交资料后就是漫长的等待，无法使用“高级功能”，但是，也不是绝对的，很简单的就可以正常使用“高级功能”，服务号还可以申请“自定义菜单”...
详细说明：
正在审核的帐号是看不到“高级功能”这一项的，但是其实只是简单的隐藏了高级功能，其中的功能可以正常使用！
只需要先登录上一个已经审核的帐号，Copy一下高级功能的Url，如：
https://mp.weixin.qq.com/cgi-bin/advanced?sub=index&t=advanced/index&token=【这里改成自己的Token】&lang=zh_CN
然后登录到正在审核的帐号上，把上面的Token换成当前的即可，敲回车，奇迹就这样发生了。。。
服务号设置可以申请自定义菜单，完全只是隐藏而已。。。
漏洞证明：
不多说了，看截图吧
可以申请自定义菜单（我已经申请了）
编辑模式，完全没问题
开发模式也没问题，并且成功配置接口，可回复消息
修复方案：
该验证的验证，剩下的比我都懂吧
版权声明：转载请注明来源 WyMM．·っ@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：5
确认时间：2013-08-13 10:39
厂商回复：
感谢反馈，我们正在积极跟进中
最新状态：
暂无