漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-039194
漏洞标题：19e电子商务平台一卡通充值平台存在命令执行漏洞（可导致充值卡等信息泄漏）
相关厂商：19e电子商务平台
漏洞作者： zkz
提交时间：2013-10-09 16:22
修复时间：2013-11-23 16:23
公开时间：2013-11-23 16:23
漏洞类型：系统/服务补丁不及时
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-10-09： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-11-23： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
19e某分站命令执行，导致上百万移动，联通，电信充值卡泄露，已经有用户造成损失，并且带有某些用户的营业执照，身份证扫描件等众多信息。
详细说明：
存在漏洞的有两个g.19e.cn和kf.19e.cn，在某些用户的充值卡被盗取的十余天里，厂商才仅仅针对g.19e.cn进行修复，并进行加密。当然已经晚了，原本不想提交怕惹火烧身，但是为了进一步增进网络安全还是提交吧。我要说你们不应该把责任怪在用户身上，毕竟是你们网站出现问题，并给用户造成很大的损失。这个你们很清楚。也不想多说，直接上图。这个时候我还敢求礼物吗？
漏洞证明：
不知道这两个是不是足以证明，没几分钟就有用户上传价值几万或几十万的充值卡。且大部分是明文。
修复方案：
你比我要更专业
版权声明：转载请注明来源 zkz@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝