漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-072204
漏洞标题：汇付天下主站敏感信息泄漏（数据库配置等）
相关厂商：汇付天下
漏洞作者： Summer
提交时间：2014-08-13 11:48
修复时间：2014-09-27 11:50
公开时间：2014-09-27 11:50
漏洞类型：系统/服务运维配置不当
危害等级：高
自评Rank：20
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-08-13： 细节已通知厂商并且等待厂商处理中
2014-08-18： 厂商已经确认，细节仅向厂商公开
2014-08-28： 细节向核心白帽子及相关领域专家公开
2014-09-07： 细节向普通白帽子公开
2014-09-17： 细节向实习白帽子公开
2014-09-27： 细节向公众公开
简要描述：
汇付天下有限公司于2006年7月成立，投资额近10亿元人民币，核心团队由中国金融行业资深管理人士组成，致力于为中国小微企业、金融机构、行业客户和投资者提供金融支付、账户托管、投资理财等综合金融服务。总部设于上海，并在北京、广州、深圳、成都、武汉、济南、南昌等30多个城市都设有分公司，旗下有汇付数据、汇付科技等子公司。
2011年5月汇付天下首批获得央行颁发的《支付业务许可证》，首家获得证监会批准开展网上基金销售支付结算业务，2013年10月首批获得国家外汇管理局跨境支付业务试点牌照，是中国支付清算协会常务理事单位。
汇付天下成立以来保持高速发展，2013年交易规模超万亿元，稳居行业三甲。目前，汇付天下已经为全国逾百万小微企业提供服务；为国内95%商业银行、数百家领先P2P公司提供金融服务；为200万投资者和理财顾问提供一站式理财平台。
详细说明：
汇付天下 http://www.chinapnr.com/
svn信息泄漏
http://www.chinapnr.com/.svn/entries
涉及多处数据库连接文件泄漏
攻击者可进行下一步攻击
漏洞证明：
修复方案：
版权声明：转载请注明来源 Summer@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：10
确认时间：2014-08-18 08:37
厂商回复：
CNVD确认并复现所述情况，已经由CNVD通过其网站公开的联系方式通过邮箱方式向其通报。涉及第一层风险（后续暂无法测试），rank 10
最新状态：
暂无