漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0147944
漏洞标题：大连万达集团某配置不当导致敏感信息泄露（时间盲注/员工手机/邮箱/身份证号/住址等等）
相关厂商：大连万达集团股份有限公司
漏洞作者： Xmyth_夏洛克
提交时间：2015-10-20 09:14
修复时间：2015-12-04 12:42
公开时间：2015-12-04 12:42
漏洞类型：敏感信息泄露
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-10-20： 细节已通知厂商并且等待厂商处理中
2015-10-20： 厂商已经确认，细节仅向厂商公开
2015-10-30： 细节向核心白帽子及相关领域专家公开
2015-11-09： 细节向普通白帽子公开
2015-11-19： 细节向实习白帽子公开
2015-12-04： 细节向公众公开
简要描述：
RT
详细说明：
万达酒业
http://oa.guobinjiu.cn/yyoa/index.jsp
敏感信息泄露：
http://oa.guobinjiu.cn/yyoa/common/selectPersonNew/initData.jsp?trueName=1
此页面存在未授权访问
员工手机/邮箱/身份证号/住址等等信息全部泄露
漏洞证明：
trueName过滤不严存在时间盲注
DBA权限
5个库
779个表
修复方案：
页面删除
参数过滤
版权声明：转载请注明来源 Xmyth_夏洛克@乌云
漏洞回应
厂商回应：
危害等级：低
漏洞Rank：1
确认时间：2015-10-20 12:40
厂商回复：
感谢Xmyth_夏洛克同学的关注！此万达非我司，是个卖酒的。。。先确认下来避免被直接公开，请乌云后台联系苦主吧。
四川万达酒业营销有限公司——
打造中国一流的名酒运营商
四川万达酒业营销有限公司成立于2005年，
主要从事宜宾五粮液股份有限公司高端系列白酒的行销。
公司目前为五粮液国宾纪念酒、五粮国宾酒、华表酒、戎威酒、京酒等系列酒的全国运营商。
公司自成立以来，凭借先进的营销和管理理念、敬业的精英团队、完善的经销网络，
以及成熟丰富的品牌运营经验，不断整合酒类优质资源，
已与众多优秀经销商和直营店运营商达成战略合作关系，成功跻身国内专业名酒运营商行列
最新状态：
暂无