漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-064232
漏洞标题：无锡市某政府网站管理平台存在万能密码漏洞
相关厂商：cncert国家互联网应急中心
漏洞作者： 超耐蘑
提交时间：2014-09-15 15:19
修复时间：2014-10-30 15:20
公开时间：2014-10-30 15:20
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：15
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-09-15： 细节已通知厂商并且等待厂商处理中
2014-09-20： 厂商已经确认，细节仅向厂商公开
2014-09-30： 细节向核心白帽子及相关领域专家公开
2014-10-10： 细节向普通白帽子公开
2014-10-20： 细节向实习白帽子公开
2014-10-30： 细节向公众公开
简要描述：
无锡市某政府管理平台存在万能密码漏洞，导致多个后台系统可直接访问，危害较大
详细说明：
无锡市人民政府拆迁管理办公室综合管理平台存在万能密码漏洞，导致多个后台系统直接访问，好像还可以添加或者审批拆迁项目（吊，感觉我掌握了中国最强大的力量）。
测试了3个系统，都可以用万能密码进入，不知道用的是不是同一个CMS，存在问题的URL为：http://www.wxcgzx.com/weboffice/
点击下面的几个后台管理系统，用户名为admin' or '1'='1,密码随便
进入系统可以更改管理员密码，没找到上传的地方。。。（PS：一点都不先进，感觉就是陷阱）
这是另外一个系统
只是进去看了下，未做其它任何动作，求社区不要来送温暖
漏洞证明：
修复方案：
本来这只是一个常见的小漏洞，可是涉及的系统比较重要，所以产生的危害也比较大，尽快修复吧
版权声明：转载请注明来源 超耐蘑@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2014-09-20 08:58
厂商回复：
最新状态：
暂无