漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-045325
漏洞标题：某期刊报社系统漏洞可泄露教授及学生账号密码
相关厂商：某期刊报社系统
漏洞作者： bittertea
提交时间：2013-12-09 17:12
修复时间：2014-03-09 17:13
公开时间：2014-03-09 17:13
漏洞类型：非授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-09： 细节已通知厂商并且等待厂商处理中
2013-12-13： 厂商已经确认，细节仅向厂商公开
2013-12-16： 细节向第三方安全合作伙伴开放
2014-02-06： 细节向核心白帽子及相关领域专家公开
2014-02-16： 细节向普通白帽子公开
2014-02-26： 细节向实习白帽子公开
2014-03-09： 细节向公众公开
简要描述：
以前投了几个期刊，发现采用的都是相同的系统
涉及大量数据库信息，各种身份信息，账号密码，论文内容
由于本系统采用的出版社众多，涉及商业机密专利版权及个人信息，请勿非法测试，后果自负！
详细说明：
如果没有联系到相应厂商或者未修复之前 请勿公开 @xsser
选了一个名叫《单片机与嵌入式系统应用》（中国科技核心期刊）的投稿系统
选择在线投稿
注册之后点击修改个人信息
修改authorid,随便改一个值
可以跨入任何人的信息
点击修改登录信息，即可看见账号和密码
审查下元素就可以看见密码
漏洞证明：
这些出版社的系统均采用的是www.magtech.com.cn该公司的系统
修复方案：
还用说？
版权声明：转载请注明来源 bittertea@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：15
确认时间：2013-12-13 22:19
厂商回复：
最新状态：
暂无