漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0156267
漏洞标题：电商安全之某购物网站SQL注入涉及11W用户账号密码\支付宝账号\邮箱\QQ等
相关厂商：淘我啦
漏洞作者： 路人甲
提交时间：2015-11-27 12:32
修复时间：2016-01-11 15:32
公开时间：2016-01-11 15:32
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-11-27： 积极联系厂商并且等待厂商认领中，细节不对外公开
2016-01-11： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
根据大部分人的密码规则来看，一个密码很容易登陆所有账号，大部分支付宝密码和账号密码一样，开发真是日了狗了。
声明：对于未注册厂商，本人本着友善德态度进行检测，从不动数据。
目前淘我啦返现网在线商品量1000多万，提供返现商城300多家，90%淘宝商家等可以返现商品达到1000多万件。
详细说明：
1、两处sql注入
第一处cid参数：
第二处mid参数：
2、数据库
3、数据量
4、数据内容：账号密码，支付宝账号，邮箱，QQ，密码一路通
漏洞证明：
修复方案：
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝
漏洞Rank：15 (WooYun评价)