漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0120384
漏洞标题：某4A级旅游景区后台存在未授权访问（泄露姓名/手机/身份证号/验证码）
相关厂商：东平国家森林公园
漏洞作者： 机器猫
提交时间：2015-06-15 11:41
修复时间：2015-07-30 11:42
公开时间：2015-07-30 11:42
漏洞类型：未授权访问/权限绕过
危害等级：高
自评Rank：20
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-06-15： 积极联系厂商并且等待厂商认领中，细节不对外公开
2015-07-30： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
后台可以编辑已付款的用户姓名、手机、身份证、设置入园状态，是否已入园、然后可以看见验证码。
至于可以干什么，你懂的。
详细说明：
电子订票系统 - 东平国家森林公园官方网站：http://booking.dpslpark.com/
管理后台 - 电子订票系统 - 东平国家森林公园官方网站：http://booking.dpslpark.com/backend.php?method=order.show&startTime=1970-01-01&endTime=1970-01-01&parkId=0&status=255&page=1&editOrderId=
东平国家森林公园位于中国第三大岛崇明岛的中北部，距县城（南门港）12公里，总面积为5400亩，是华东地区已形成的最大的平原人工森林，上海著名旅游胜地，国家4A级旅游景区，全国农业旅游示范点。其前身是东平林场，1993年建成国家级森林公园，1997年被评为上海十佳旅游休闲新景点。
东平国家森林公园位于中国第三大岛崇明岛的中北部，距县城（南门港）12公里，总面积为5400亩，是华东地区最大的人造平原森林，上海著名旅游胜地，国家4A级旅游景区，全国农业旅游示范点。
漏洞证明：
修复方案：
版权声明：转载请注明来源 机器猫@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝