漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-038380
漏洞标题：北京现代汽车培训管理系统弱口令及下载任意文件
相关厂商：beijing-hyundai.com.cn
漏洞作者： 独角兽
提交时间：2013-11-12 15:44
修复时间：2013-11-17 15:45
公开时间：2013-11-17 15:45
漏洞类型：任意文件遍历/下载
危害等级：中
自评Rank：5
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-11-12： 细节已通知厂商并且等待厂商处理中
2013-11-17： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
登陆会提示无用户，经过尝试使用了1这个账号，弱口令登陆，并存在任意文件下载漏洞。
详细说明：
在朋友圈发现了他们内部地址，试了一下，发现弱口令（估计以为是内部网没在意）
http://61.50.156.38/
用户名：1 密码：111111
关键还是感谢会提示我这个用户存在不存在。- -！
登陆后上传头像无果，注入无果。随后看看他们培训教程，发现问题。
该下载链接包含路径…………。试试……
漏洞证明：
到此也不用深入啦，我就是为了骗点乌云币。。。。。。
修复方案：
弱口令！下载任意文件，你都懂。。。。
版权声明：转载请注明来源 独角兽@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-11-17 15:45
厂商回复：
最新状态：
暂无