漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-037073
漏洞标题：淘宝第三方应用权限验证错误(可修改19.8万店铺任意宝贝标题)
相关厂商：淘宝网
漏洞作者： 坑队友
提交时间：2013-09-14 00:40
修复时间：2013-10-29 00:41
公开时间：2013-10-29 00:41
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：10
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-09-14： 细节已通知厂商并且等待厂商处理中
2013-09-18： 厂商已经确认，细节仅向厂商公开
2013-09-28： 细节向核心白帽子及相关领域专家公开
2013-10-08： 细节向普通白帽子公开
2013-10-18： 细节向实习白帽子公开
2013-10-29： 细节向公众公开
简要描述：
淘宝卖家服务中心，有一款应用在权限验证上没做好处理，导致使用了该应用的19.8万商家的所有宝贝的标题可以任意修改。
详细说明：
这个应用叫“运营一点通”，该服务商与淘宝官方应用“江湖策”合作，在“江湖策”流量分析那里有一个优化标题功能。
这个功能使用iframe框架引用，进入这个iframe里面是使用get判断不同用户的。
当我们修改URL中的userId参数，当这个用户有使用过这个“运营一点通”的功能时候，就可以修改前四件宝贝的标题。
而在修改页，我们再修改numIid参数，这个参数指定该店铺的宝贝，可以修改店铺任意宝贝的标题。
漏洞证明：
http://youdian.taegrid.taobao.com/d/itemlist?userId=399321258
这个用户开通过“运营一点通”。
这前四样宝贝的标题可以进入修改。
http://youdian.taegrid.taobao.com/d/diag?numIid=18998074917&userId=399321258
修改numIid可以修改该店铺任意宝贝
我们来修改一下它的标题。
修改成功。
更多杯具用户，可以在这里找到。
http://bangpai.taobao.com/group/members/15160271.htm?spm=0.0.0.0.MweVxZ
修复方案：
在进入应用与修改标题的时候，需要验证用户是否为该店铺的授权帐号。
版权声明：转载请注明来源 坑队友@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：8
确认时间：2013-09-18 21:50
厂商回复：
感谢你对我们的支持与关注，该问题我们已经修复~中秋节快乐~~
最新状态：
暂无