漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0158740
漏洞标题：中国东方航空股份有限公司支付系统验证漏洞可以1元认购10000积分（价值2500RMB）
相关厂商：中国东方航空股份有限公司
漏洞作者： 逆流冰河
提交时间：2015-12-07 12:11
修复时间：2016-01-21 12:50
公开时间：2016-01-21 12:50
漏洞类型：设计缺陷/逻辑错误
危害等级：高
自评Rank：20
漏洞状态：厂商已经确认
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-12-07： 细节已通知厂商并且等待厂商处理中
2015-12-07： 厂商已经确认，细节仅向厂商公开
2015-12-17： 细节向核心白帽子及相关领域专家公开
2015-12-27： 细节向普通白帽子公开
2016-01-06： 细节向实习白帽子公开
2016-01-21： 细节向公众公开
简要描述：
这个漏洞是支付金额没有做判断，导致1修改金额，直接付款，
详细说明：
1，http://easternmiles.ceair.com/mpf/#/sign/signin 登录进去
2，登录后，点击购买积分
3，立即购买，修改参数
4，改完后，到了支付页面
5，到了招行的支付页面
6,支付完成
漏洞证明：
自己买了一次，加上演示一次，共买了两次
这个积分你们要是大气的话，就给我吧
要是小气的话，就收回吧
修复方案：
Fix
能不能打个雷或者3个刀
版权声明：转载请注明来源 逆流冰河@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：10
确认时间：2015-12-07 12:49
厂商回复：
十分感谢！
最新状态：
暂无